Windows Defender 제로데이와 위험 기반 패치 관리 전략

2026년 4월에는 Windows Defender를 겨냥한 BlueHammer, RedSun, UnDefend가 13일 사이에 공개됐다. 세 취약점은 모두 실제 공격에서 활용된 것으로 확인됐으며, 4월 패치 화요일 시점에 마이크로소프트가 수정한 것은 BlueHammer뿐이었다. 보안 제품이 높은 권한으로 수행하는 파일 처리 자체가 공격 표면이 될 수 있음을 보여준 사건이다.

공개 시점과 패치 공백

2026년 4월 7일, 한 보안 연구자가 Windows Defender 위협 처리 엔진의 로컬 권한 상승(LPE) 취약점을 개념 증명(PoC) 익스플로잇과 함께 공개했다. 이 취약점이 BlueHammer(CVE-2026-33825)다. 같은 연구자는 4월 17일까지 동일한 Windows Defender 구성 요소를 대상으로 RedSun과 UnDefend도 추가 공개했다.

Huntress Labs는 세 취약점이 모두 실제 공격에서 관측됐다고 확인했다. BlueHammer는 최소 4월 10일부터 야생에서 활발히 악용됐다. 마이크로소프트는 2026년 4월 14일 패치 화요일에 역대 최대 규모인 165개 취약점을 수정했지만, 이 제로데이 가운데 대응된 것은 하나였다. 취약점 공개 정책과 엔터프라이즈 패치 운영의 간극이 동시에 드러난 대목이다.

BlueHammer가 노린 위협 처리 경로

BlueHammer는 Windows Defender 위협 처리(threat remediation) 엔진의 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건이다. Defender가 악성코드를 정리하면서 상승된 권한으로 파일을 쓸 때, 실제 쓰기 시점의 경로가 충분히 검증되지 않는 문제가 핵심이다.

Defender는 격리 또는 삭제 과정에서 SYSTEM 권한으로 파일 시스템을 조작한다. 경로를 확인하는 check와 파일을 쓰는 use 사이에는 짧은 간격이 생긴다. 공격자는 그 순간 심볼릭 링크나 정션(junction)을 삽입해 쓰기 대상을 임의의 시스템 디렉터리로 바꾼다. 일반 사용자 계정에서 SYSTEM 수준의 파일 쓰기가 가능해지고, 결국 권한 상승으로 이어진다.

⤢✕

완전히 패치된 Windows 10 및 Windows 11에서도 권한 없는 사용자가 SYSTEM 접근을 획득할 수 있다는 점이 위험하다. 이 문제는 4월 패치 화요일 업데이트에서 수정됐다.

RedSun과 UnDefend의 다른 공격 표면

RedSun은 Windows Defender의 클라우드 파일 롤백(cloud file rollback) 메커니즘을 이용하는 로컬 권한 상승 기법이다. Defender는 클라우드 태그가 붙은 파일을 발견하면 원래 위치로 복원(restore)을 시도한다. 이 과정에서 복원 대상 경로를 충분히 확인하지 않는 점이 공격 지점이 된다.

공격자는 클라우드 태그가 붙은 파일을 조작해 Defender의 롤백을 유도하고, 복원 위치를 권한이 필요한 시스템 디렉터리로 리다이렉션한다. 이때 BlueHammer처럼 심볼릭 링크 또는 경로 트래버설 기법이 쓰인다. 2026년 4월 기준 RedSun에는 공식 패치가 제공되지 않았다.

BlueHammer가 악성코드 정리 경로를 겨냥한다면, RedSun은 클라우드 동기화 복원 경로를 사용한다. OneDrive 등 클라우드 스토리지를 활성화한 엔드포인트에서 특히 주의할 이유다.

UnDefend는 BlueHammer와 RedSun처럼 권한 상승을 목표로 하지 않는다. 대신 Windows Defender의 정의 업데이트(definition update) 파이프라인을 차단해 서비스 거부(DoS) 조건을 만든다. 공격이 성공하면 Defender는 최신 악성코드 시그니처를 내려받지 못하고 감지 능력이 점진적으로 떨어진다.

UnDefend는 단독 공격보다 다른 공격의 전처리 단계로 쓰일 가능성이 높다. Defender를 사실상 맹목 상태로 만든 뒤 이미 알려진 악성코드나 추가 익스플로잇을 배포하는 조합이 우려된다.

구분	BlueHammer	RedSun	UnDefend
CVE	CVE-2026-33825	미지정	미지정
유형	LPE (로컬 권한 상승)	LPE (로컬 권한 상승)	DoS (서비스 거부)
공격 경로	위협 처리 엔진 TOCTOU	클라우드 파일 롤백	정의 업데이트 파이프라인
패치 상태	2026년 4월 패치 완료	미패치	미패치
와일드 악용	확인됨 (4월 10일~)	확인됨	확인됨
권한 요구	로컬 일반 사용자	로컬 일반 사용자	로컬 일반 사용자

커널·드라이버 분석에서 확인할 경계

BlueHammer와 RedSun은 Windows Defender 드라이버 수준의 취약점이다. 유사한 커널·드라이버 문제를 조기에 찾으려면 정적 분석, 동적 분석, 경쟁 조건 재현을 함께 다뤄야 한다.

정적 분석에서는 IDA Pro, Ghidra 등으로 드라이버를 역어셈블해 파일 시스템 조작 루틴, 토큰 핸들링, IOCTL 처리 로직을 확인한다. 검증(check) 뒤 사용(use)이 이어지는 패턴을 찾아 TOCTOU 가능 구간을 식별하고, 특히 ZwCreateFile, NtSetInformationFile 같은 커널 API 호출 주변의 경로 검증을 검토한다. 드라이버가 받는 IOCTL 인터페이스, 공유 메모리 영역, 커널-유저 모드 전환 지점도 신뢰 경계로 모델링해야 한다.

동적 분석에서는 WinDbg + KDNET으로 실제 실행 흐름을 추적한다. WDM 드라이버 퍼저와 HEVD(HackSys Extreme Vulnerable Driver) 기반 테스트 하네스를 사용해 비정상 입력의 응답을 관찰할 수 있다. TOCTOU 창을 재현할 때는 두 개의 스레드를 활용한다. 하나는 지속적으로 DeviceIoControl을 호출하고, 다른 하나는 타이밍에 맞춰 파일 경로를 교체한다.

마이크로소프트 공식 드라이버 보안 가이드라인은 직접 I/O(Direct I/O)에서 검증할 파라미터를 사용자 공간에서 커널 전용 메모리(스택 또는 풀)로 복사한 뒤 검증하도록 규정한다. 이 원칙을 따르지 않는 구간은 TOCTOU 취약점 후보가 된다.

미패치 상태에서 우선할 탐지와 완화

RedSun과 UnDefend처럼 공식 패치가 없는 상황에서는 행위 기반 탐지와 보상 통제가 필요하다. 일반 사용자 계정이 시스템 디렉터리를 대상으로 심볼릭 링크나 정션을 생성하는 행위는 실시간으로 모니터링한다.

MsMpEng.exe(Windows Defender 엔진 프로세스)가 비표준 경로에 파일을 쓰거나 예상치 못한 권한 상승 이벤트와 연결될 때도 경보를 발생시켜야 한다. Defender 정의 업데이트가 연속으로 실패하는 경우에는 UnDefend 공격 징후로 보고 SIEM 상관 규칙으로 탐지한다.

운영 측면에서는 로컬 관리자 계정을 최소화하고 표준 사용자 계정 기반 환경을 유지한다. Microsoft Defender for Endpoint의 공격 표면 축소(ASR) 규칙을 활성화해 알려진 익스플로잇 기술에 대한 차단을 강화할 수 있다. RedSun 완화를 위해서는 클라우드 파일 동기화 정책을 검토하고, 불필요한 클라우드 태그 기능을 제한한다. Defender 단독 운용보다 EDR(Endpoint Detection and Response)을 함께 배포해 행위 기반 탐지 레이어를 더하는 방법도 있다.

CVSS만으로 정하지 않는 긴급 패치 순서

이 사례에서는 CVSS 점수만으로 패치 우선순위를 정하기 어렵다. 엔터프라이즈 패치 관리는 익스플로잇 가용성, CVSS 심각도, 자산 노출도, 보상 통제를 함께 고려해야 한다.

공개된 PoC 코드가 있는지, 야생 악용이 확인됐는지가 익스플로잇 가용성의 기준이다. BlueHammer·RedSun·UnDefend는 모두 이 항목에서 최고 등급이다. CVSS는 출발점일 뿐 최종 기준은 아니다. 로컬 LPE는 CVSS가 상대적으로 낮더라도 실제 공격 체인에서 중요한 역할을 한다.

자산이 인터넷에 노출됐는지 또는 내부 시스템인지도 판단에 반영한다. 로컬 권한 상승 취약점은 이미 내부 접근이 이뤄진 환경에서 특히 치명적이다. 배포된 EDR, 네트워크 세분화, 특권 접근 관리(PAM)가 위험을 어느 정도 낮추는지도 함께 확인해야 한다.

단계	활동	목표 시간
탐지 및 평가	취약점 정보 수신, 내부 자산 영향 범위 파악	발표 후 2시간 이내
긴급 승인	변경 관리 위원회 긴급 승인, 배포 권한 위임	4시간 이내
파일럿 배포	비핵심 시스템 선별 배포 및 안정성 검증	8시간 이내
전체 배포	핵심 시스템 포함 전체 배포	24시간 이내
검증 및 보고	패치 적용률 확인, 취약점 스캔 재검증	48시간 이내

제로데이 이벤트에서는 노출 창을 4시간 이내로 압축하는 것이 현대 엔터프라이즈 패치 관리 프레임워크의 목표다. 이를 뒷받침하려면 사전에 정한 에스컬레이션 경로, 명확한 승인 임계값, 자동화된 배포 파이프라인이 필요하다.

Windows Defender처럼 방어를 담당하는 제품도 공격 표면이 될 수 있다. RedSun과 UnDefend가 미패치 상태인 만큼, 행위 기반 탐지와 최소 권한 원칙을 강화하고 익스플로잇 가용성 및 자산 노출도를 반영하는 동적 패치 관리 체계를 운영해야 한다.

Sources

• BlueHammer & RedSun: Windows Defender CVE-2026-33825 Zero-day Vulnerability Explained — Picus Security
• Three Microsoft Defender Zero-Days Actively Exploited; Two Still Unpatched — The Hacker News
• BlueHammer, RedSun, and UnDefend: Three Windows Defender Zero-Days Exploited in the Wild — SOCRadar
• Researcher drops two more Microsoft Defender zero-days, all three now exploited in the wild — Help Net Security
• Recently leaked Windows zero-days now exploited in attacks — BleepingComputer
• Windows Defender 0-days: BlueHammer (patched) and RedSun (unpatched) — Born's Tech and Windows World
• Defender Triple Zero-Day: BlueHammer, RedSun, and UnDefend — CSA Lab Space
• April 2026 Patch Tuesday: 165 Vulnerabilities, Two Zero-Days Including One Actively Exploited — SOCRadar
• Windows 10 x64 Kernel Exploitation — TOCTOU Race Condition using HEVD — InsideYourKernel
• Driver security checklist — Microsoft Learn
• Enterprise Patch Management Best Practices — N-able
• Patch Management Security 2026: Zero-Day Fixes, N-Day Vulnerabilities — DDoS Intelligence