Windows Shell NTLM 인증 강제 취약점 대응: CISA KEV와 심층 방어 전략

KEV에 등재된 Windows Shell 인증 강제 취약점

CISA는 2026년 4월 28일 Windows Shell 스푸핑 취약점인 CVE-2026-32202를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하고, 연방 민간 행정부(FCEB) 기관에 2026년 5월 12일까지 긴급 패치를 적용하도록 명령했다.

이 결함은 악성 LNK 파일이 포함된 폴더를 탐색하는 것만으로 피해자의 Net-NTLMv2 해시가 공격자에게 전달될 수 있는 제로클릭 인증 강제 취약점이다. APT28(Fancy Bear)은 우크라이나와 EU 국가를 상대로 이미 이를 악용했다. 해시 유출은 NTLM 릴레이와 오프라인 크래킹으로 이어질 수 있으므로, NTLM 제한과 Kerberos 전환, SMB Signing, EPA(Extended Protection for Authentication)를 함께 검토해야 한다.

항목	내용
CVE ID	CVE-2026-32202
취약점 유형	Windows Shell 스푸핑 (인증 강제)
CVSS 점수	4.3 (Medium)
악용 조건	피해자가 악성 LNK 파일 포함 폴더 탐색 (제로클릭)
영향 범위	Net-NTLMv2 해시 유출 → 릴레이·크래킹
패치	2026년 4월 KB5083769 (Windows 11 24H2·25H2)
CISA KEV 등재일	2026년 4월 28일
FCEB 패치 기한	2026년 5월 12일
실전 악용자	APT28 (Fancy Bear / Forest Blizzard)

CISA의 조치는 단순 권고가 아니다. BOD(Binding Operational Directive) 22-01에 근거한 법적 구속력 있는 명령으로, 연방 네트워크에 대한 위협을 공식적으로 평가한 결과다.

이전 패치에서 남은 UNC 경로

CVE-2026-32202는 앞선 취약점 수정이 남긴 경로에서 발견됐다. 마이크로소프트는 2026년 2월 원격 코드 실행(RCE)과 SmartScreen 우회를 허용하는 고위험 취약점 CVE-2026-21510을 수정했다. 해당 패치는 RCE와 SmartScreen 우회는 차단했지만, Windows Shell이 LNK 파일의 UNC 경로를 처리할 때 생기는 제로클릭 인증 강제 경로까지 제거하지는 못했다.

Akamai 보안 연구팀은 이 미완성 패치의 잔재를 분석해 CVE-2026-32202를 발견했다. CERT-UA는 APT28이 2025년 12월부터 이 취약점 또는 전신인 CVE-2026-21513을 LNK 파일 기반 익스플로잇 체인의 일부로 사용해왔음을 확인했다.

⤢✕

패치 완료 여부는 특정 공격 벡터의 차단만으로 판단하기 어렵다. 같은 코드 경로에서 갈라지는 다른 악용 방식이 남을 수 있으므로, 적용 뒤에는 회귀 테스트와 공격 표면 재검증이 필요하다.

LNK 아이콘 조회가 인증을 유도하는 방식

Windows Shell은 폴더를 렌더링하면서 LNK 파일 아이콘을 불러오기 위해 해당 파일이 가리키는 경로를 자동으로 처리한다. 공격자가 아이콘 경로를 공격자 제어 SMB 서버의 UNC 경로(\\attacker.com\share\icon.ico)로 설정하면, 피해자가 해당 LNK 파일이 들어 있는 폴더를 탐색기로 열 때 Windows가 자동으로 공격자 서버에 SMB 연결을 시도한다.

이 과정에서는 경고가 표시되지 않으며 파일 실행도 필요 없다. 폴더를 여는 일반적인 동작만으로 인증 핸드셰이크가 시작된다.

SMB 연결을 시도하는 동안 Windows는 NTLM 인증 핸드셰이크를 자동 수행하고, 피해자의 Net-NTLMv2 해시가 공격자 서버로 전송된다. 공격자는 Responder나 Impacket 같은 도구로 이 해시를 수신해 저장할 수 있다.

Net-NTLMv2 해시는 실제 패스워드 해시와 달리 Pass-the-Hash 공격에 직접 사용할 수 없지만, 다음 경로로 악용된다.

실시간 릴레이: 수신 직후 다른 서비스로 전달해 피해자 계정으로 인증한다.
오프라인 크래킹: Hashcat 등을 이용해 평문 패스워드 복원을 시도한다.

⤢✕

AD CS(Active Directory Certificate Services) 환경에서는 ESC8 취약점과 결합될 수 있다. HTTP 기반 인증서 등록 엔드포인트에 NTLM 해시를 릴레이해 도메인 관리자 인증서를 발급받고, 도메인 컨트롤러 장악으로 이어지는 체인이다. SMB Signing이 적용된 경우에도 HTTP 엔드포인트에는 서명이 없으므로 이 체인은 유효하다.

APT28이 사용한 LNK 기반 공격 체인

APT28(Fancy Bear, Forest Blizzard)은 러시아 군사정보국(GRU) 산하 사이버 공작 그룹으로, 2025년 12월부터 우크라이나와 EU 여러 국가를 대상으로 CVE-2026-21513 및 CVE-2026-21510을 포함한 LNK 파일 기반 익스플로잇 체인을 운용해왔다. CERT-UA는 이 캠페인을 확인하고 공개 경고를 발령했다.

공격자는 정부 문서나 군사 관련 자료로 위장한 아카이브 파일을 전달한다. 아카이브 안에는 악성 LNK 파일이 포함되어 있고, 수신자가 압축을 푼 뒤 탐색기로 폴더를 열면 Windows Shell이 LNK 파일을 처리하면서 공격자 제어 SMB 서버로 자동 인증을 시도한다.

파일을 실행하거나 링크를 클릭할 필요가 없다는 점이 이 방식의 핵심이다. 국가 수준의 위협 행위자가 이를 지정학적 분쟁 지역에서 활용했다는 사실은 CVSS 4.3만으로 패치 우선순위를 정하기 어렵다는 점을 보여준다.

인증 경로와 네트워크 경계를 함께 통제하기

NTLM을 제한하고 Kerberos로 전환

가장 근본적인 조치는 NTLM 인증 자체를 비활성화하는 것이다. 마이크로소프트는 단계적 NTLM 폐기 계획을 진행 중이며, 2026년 10월부터 완전 적용 단계에 진입한다. 다만 레거시 애플리케이션 호환성 때문에 대부분의 엔터프라이즈 환경에서 즉시 완전 비활성화하기는 어렵다.

현실적인 방법은 단계적으로 NTLM 사용을 제한하는 것이다.

그룹 정책 경로: 컴퓨터 구성 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션

정책	설정값	효과
네트워크 보안: NTLM 제한 - 원격 서버로의 아웃바운드 NTLM 트래픽	Deny all	외부 서버로의 NTLM 인증 차단
네트워크 보안: NTLM 제한 - 이 도메인의 NTLM 인증	감사 후 거부	도메인 내 NTLM 사용 통제
네트워크 보안: LAN 관리자 인증 수준	NTLMv2만 전송, LM 및 NTLM 거부	하위 호환 프로토콜 차단

Kerberos 전환이 가능한 환경이라면 SPN(Service Principal Name) 등록 상태를 확인하고, Kerberos 인증 실패 시 NTLM으로 자동 폴백되지 않도록 구성해야 한다.

SMB Signing과 EPA의 적용 범위

SMB Signing은 메시지마다 암호학적 서명을 부착해 릴레이 공격을 차단한다. Net-NTLMv2 해시가 탈취되더라도 서명 검증을 통과하지 못하므로 릴레이할 수 없다.

하지만 SMB Signing만으로 ESC8을 통한 HTTP 릴레이 체인을 완전히 막을 수는 없다. HTTP 기반 AD CS 엔드포인트에는 서명이 없기 때문이다. SMB Signing은 필요조건이지 충분조건이 아니다.

Windows Server 2025 이후: SMB Signing이 기본값으로 활성화되어 있으나, 레거시 시스템이 혼재하는 환경에서는 명시적 그룹 정책 적용이 필요하다.

EPA는 인증 세션을 TLS 채널에 바인딩해 NTLM 릴레이를 차단한다. 공격자가 해시를 릴레이해도 TLS 채널 바인딩 토큰(CBT) 검증에 실패하면 인증은 거부된다.

AD CS의 HTTP 기반 인증서 등록 엔드포인트(CES, CES Web), IIS 기반 내부 서비스, Exchange Web Services에 EPA를 활성화하면 HTTP 릴레이 체인을 차단할 수 있다. EPA는 서비스별로 독립 설정해야 하며 LDAP, SMB, HTTP에도 각각 별도 적용이 필요하다.

⤢✕

네트워크 경계에서는 TCP 445 포트의 아웃바운드 트래픽을 RFC1918 비공개 주소 범위 외부로 차단한다. 피해자가 악성 LNK 파일이 들어 있는 폴더를 열더라도 외부 SMB 서버로의 연결 자체를 방화벽에서 막을 수 있다. 이는 CVE-2026-32202 체인에 적용할 수 있는 단순한 네트워크 수준 완화책이다.

탐지 시에는 Windows 이벤트 로그의 Event ID 4624(로그온)와 4648(명시적 자격증명 사용)을 확인한다. NTLM 인증 유형인 로그온 유형 3이 비서버 호스트에서 수신되는 경우는 이상 지표로 모니터링해야 한다.

KEV를 기준으로 패치 우선순위를 정하는 흐름

CISA KEV 카탈로그는 이론상 취약점이 아니라 실제 공격에서 확인된 취약점 목록이다. BOD 22-01은 FCEB 기관에 KEV 항목의 우선 패치를 법적으로 요구한다. CVSS 점수만으로 우선순위를 정할 때 놓칠 수 있는 위험을 보완하는 방식이다.

CVE-2026-32202처럼 CVSS 4.3임에도 국가 수준의 위협 행위자가 실전에서 악용하는 사례를 식별하는 데 KEV 카탈로그가 유용하다. 민간 조직도 다음 흐름을 패치 관리 절차에 반영할 수 있다.

신규 KEV 등재는 CISA KEV RSS 피드 또는 API(https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)를 구독해 확인한다. 이후 CMDB 또는 취약점 스캐너로 취약한 소프트웨어 버전을 보유한 자산을 식별한다.

FCEB 기관은 BOD 22-01 기한인 통상 2-3주 안에 패치를 적용해야 한다. 민간 조직도 같은 기한을 내부 SLA로 준용할 수 있다. 패치 전에는 방화벽 규칙, NTLM 정책, SMB Signing 같은 완화 조치를 먼저 적용하고, 적용 후에는 취약점 스캔으로 결과를 검증한다. 검증 결과와 조치 이력은 CyberScope 등 보고 메커니즘에 기록한다.

BOD 22-01이 요구하는 이행 기준

BOD(Binding Operational Directive) 22-01은 2021년 11월 CISA가 발행한 지침이다. FCEB 기관은 KEV 카탈로그 취약점을 기한 안에 패치해야 하며, 이론적 위험보다 증거 기반 위험에 집중하는 것이 이 지침의 핵심이다.

요건	내용
적용 대상	연방 민간 행정부(FCEB) 기관 전체
패치 기한	중요 취약점: KEV 등재 후 3주 / 고위험: 4주
보고 의무	CyberScope 또는 동등 메커니즘을 통한 이행 보고
미준수 제재	운영 제한 또는 기타 집행 조치
민간 권고	의무는 아니나 동일 기한 준용 강력 권고

CVE-2026-32202는 2026년 4월 28일 KEV 등재와 함께 5월 12일을 패치 기한으로 받았다. 약 2주로 설정된 이 기한은 통상적인 3주보다 짧으며, 국가 수준 위협 행위자의 활발한 악용이 긴박성을 높인다는 판단을 반영한다.

BOD 22-01의 법적 구속력은 FCEB 기관에 한정된다. 다만 CISA는 모든 조직이 KEV 카탈로그를 취약점 관리 프로그램의 핵심 인풋으로 활용할 것을 강력히 권고한다. 민간 기업과 중요 인프라 운영자도 같은 우선순위 프레임워크를 채택해 공격 노출을 줄일 수 있다.