Windows 제로데이 연쇄 공격과 패치 대응 운영

2026년 5월 Microsoft 정기 보안 업데이트(Patch Tuesday) 발표 직후 Chaotic Eclipse 연구자가 YellowKey, GreenPlasma, MiniPlasma를 공개했다. 대상에는 Windows의 핵심 보안 구성요소인 Defender와 BitLocker가 포함된다. 각각 따로도 위험하지만, 연결하면 시스템 장악으로 이어지는 공격 경로가 만들어진다.

Defender, BitLocker, 커널을 노리는 취약점

YellowKey·GreenPlasma·MiniPlasma는 Windows의 서로 다른 보안 계층을 겨냥한다. 공격 조건과 영향 범위가 같지 않으므로, 대응 우선순위도 분리해서 판단해야 한다.

YellowKey가 만드는 Defender 스캔 사각지대

YellowKey는 Microsoft Defender 실시간 보호 엔진의 논리적 결함을 악용한다. 파일 스캔 큐 처리 과정에서 특정 파일 이름 패턴과 NTFS 대체 데이터 스트림(ADS, Alternate Data Stream)을 함께 사용하면 악성 페이로드가 스캔 대상에서 빠질 수 있다.

일반 사용자 권한으로 로컬 파일시스템에 접근할 수 있으면 트리거할 수 있으며, Windows 10/11 전 버전과 Windows Server 2019/2022가 영향 범위로 확인됐다. NTFS ADS와 특정 유니코드 문자 조합으로 Defender 스캔 경로 제외 목록을 조작하고, 탐지되지 않은 악성 파일을 디스크에 지속적으로 남길 수 있다.

GreenPlasma의 BitLocker 전처리 우회 조건

GreenPlasma는 BitLocker 드라이브 암호화의 전처리(Pre-boot Authentication) 단계에 있는 취약점이다. 물리적 접근 또는 부트 환경을 수정할 권한이 있을 때 BitLocker 보호 우회에 사용될 수 있다.

핵심은 TPM(Trusted Platform Module) 측정값 검증 로직이다. 특정 조건에서는 무결성 검사를 건너뛰는 레이스 컨디션(Race Condition)이 존재한다. 도난 노트북, 공급망 공격, 데이터센터 내부자 위협 상황에서는 암호화된 드라이브 데이터를 추출할 가능성이 생긴다. Secure Boot가 활성화돼 있어도 특정 펌웨어 구성에서는 TPM 바이패스가 가능하다.

MiniPlasma가 노리는 SYSTEM 권한

MiniPlasma는 Windows 커널 메모리 관리 서브시스템의 Use-After-Free(UAF) 취약점이다. 일반 사용자 권한에서 SYSTEM 권한으로 올라가는 로컬 권한 상승(LPE)을 허용한다.

영향을 받는 구성요소는 Win32k.sys 커널 드라이버의 특정 GDI 오브젝트 처리 루틴이다. CVSS 점수는 7.8 (High)이며, 로컬 익스플로잇이지만 권한 상승 영향이 커 높은 점수를 받았다. 별도 사용자 인터랙션 없이 자동화된 익스플로잇이 가능한 낮은 공격 복잡도도 문제다. 이 취약점은 5월 Patch Tuesday에 포함되지 않았고 Microsoft가 조사 중이다.

연결될 때 커지는 공격 경로

이 취약점들의 위협은 단일 취약점의 영향에만 있지 않다. 초기 접근 이후 Defender를 피하고 커널 권한을 높인 뒤, 온라인 환경과 물리 접근 환경에서 서로 다른 목표로 갈라지는 체인이 가능하다.

⤢✕

초기 거점은 피싱 이메일, 악성 문서, 웹 기반 드라이브-바이 다운로드를 통해 일반 사용자 수준의 코드 실행 권한을 얻는 방식이다.

이후 YellowKey로 악성 페이로드를 NTFS ADS 구조와 유니코드 난독화 기법으로 패키징해 Defender 실시간 보호의 스캔 사각지대에 숨긴다. 추가 악성 도구와 페이로드를 탐지 없이 디스크에 배치할 수 있는 단계다.

MiniPlasma는 은닉된 익스플로잇 코드가 Win32k.sys의 UAF 취약점을 트리거해 SYSTEM 권한을 얻는 흐름이다. SYSTEM 권한을 확보한 뒤에는 Windows 보안 경계의 대부분이 무력화된다.

마지막 경로는 공격자의 목표에 따라 달라진다. 온라인 네트워크에서는 LSASS 프로세스 메모리를 덤프해 자격증명을 추출하고 횡적 이동을 시도한다. 오프라인이거나 물리적 접근이 가능한 상황에서는 GreenPlasma로 BitLocker를 우회해 암호화된 드라이브 데이터를 직접 추출한다.

위험도에 따라 패치 순서를 정하는 기준

세 취약점은 공격 벡터와 환경 의존성이 다르다. 같은 일정으로 일괄 처리하기보다 위험 매트릭스를 기준으로 우선순위를 나눌 필요가 있다.

취약점	CVSS	공격 벡터	사용자 인터랙션	패치 우선도
MiniPlasma	7.8	로컬	불필요	즉시 (Tier 1)
YellowKey	6.5	로컬	불필요	즉시 (Tier 1)
GreenPlasma	6.1	물리적	불필요	高위험 환경 우선 (Tier 2)

금융·의료·방산 조직에서는 MiniPlasma와 YellowKey를 48시간 내 긴급 패치 배포 대상으로 둔다. BitLocker 의존도가 높은 모바일 단말과 노트북 환경은 GreenPlasma를 집중 대상으로 삼아 1주일 내 배포한다.

일반 기업 환경에서는 MiniPlasma를 1주일 내 배포한다. 권한 상승 위험은 랜섬웨어 확산과 직결된다. YellowKey는 Defender 대체 보호 수단을 먼저 적용한 뒤 2주 내 배포하고, 물리 보안이 강화된 데스크톱 환경의 GreenPlasma는 다음 정기 패치 주기까지 허용할 수 있다.

자산 식별부터 배포 후 감시까지

신속함만으로는 안전한 패치 배포가 되지 않는다. 취약 시스템을 식별하고 테스트한 다음 제한된 범위부터 배포하며, 롤백과 사후 감시까지 이어지는 5단계 운영 흐름이 필요하다.

노출 자산과 탐지 규칙을 함께 갱신한다

패치가 공개되면 WSUS·SCCM·Intune으로 취약 버전의 Windows 시스템을 전수 식별한다. 인터넷 노출 시스템, 특권 계정 접근 시스템, BitLocker 의존 모바일 단말도 구분한다.

SIEM에는 YellowKey 관련 NTFS ADS 이상 접근, MiniPlasma 관련 Win32k.sys 커널 예외, GreenPlasma 관련 부트 이벤트 이상 패턴을 탐지하는 규칙을 추가한다.

운영 이미지와 연동 도구에서 회귀를 확인한다

프로덕션 배포 전에는 조직 표준 Windows 이미지에 패치를 적용해 기능을 확인한다. Defender 정책 변경이 EDR·DLP·SIEM 에이전트와 충돌하지 않는지도 검증 대상이다.

GreenPlasma 관련 패치가 TPM 측정값에 영향을 줘 BitLocker 잠금 해제 실패를 유발하는지 확인해야 한다. 실제 사례가 다수 발생했다. Tier 1 취약점은 이 검증을 48-72시간 내 마치는 것을 목표로 한다.

제한된 그룹에서 전사 범위로 넓힌다

Ring 0 (5%)에는 IT 부서 내부 시스템과 자원봉사 사용자 그룹을 먼저 포함한다. Ring 1 (15%)은 파일럿 부서를 선정해 72시간 동안 모니터링하고, 문제가 없을 때 다음 단계로 진행한다.

Ring 2 (40%)에서는 WSUS 그룹 정책을 활용해 일반 업무 환경으로 배포한다. Ring 3 (40%)는 전사 완전 배포 단계이며, OT(운영 기술) 환경은 별도 일정으로 관리한다.

배포 전 롤백 조건을 고정한다

가상화 환경은 스냅샷을, 물리 환경은 WIM 이미지를 사전에 캡처한다. GreenPlasma 패치 전후에는 BitLocker 복구 키가 AD 또는 Intune에 정상적으로 에스크로됐는지도 확인한다.

배포 24시간 내 5% 이상 시스템에서 BSOD 또는 서비스 중단이 발생하면 자동 롤백하는 기준을 둔다. Ring 1 이상에서 문제가 발생한 경우 전 단계 복구는 4시간 내 완료하는 것이 목표다.

패치 이후 남은 노출을 추적한다

Qualys·Tenable·Rapid7 등으로 취약점 스캐너를 다시 실행해 패치 누락 시스템을 식별한다. MiniPlasma 관련 SYSTEM 권한 이상 획득 이벤트(Event ID 4672)와 YellowKey 관련 Defender 제외 목록 변경(Event ID 5007)을 집중적으로 모니터링한다.

MTTR(평균 복구 시간), 패치 커버리지율, 미패치 노출 기간은 대시보드에서 지속적으로 가시화한다.

공개 시점이 남긴 책임 있는 공개의 쟁점

Chaotic Eclipse 연구자는 Microsoft의 5월 Patch Tuesday 발표 시점에 세 취약점을 공개했다. 연구자 측 입장은 Microsoft에 사전 통보했지만 충분한 대응이 이뤄지지 않았고, 공개를 통해 사용자 인식을 높이며 빠른 패치를 압박하려 했다는 것이다.

이 방식은 업계의 책임 있는 공개(Responsible Disclosure) 원칙과 충돌하는 면이 있다.

조기 공개를 지지하는 측은 벤더의 패치 지연을 압박하는 가장 효과적인 수단이며, 사용자가 위험을 알고 자체 완화 조치를 취할 정보 권리가 있다고 본다. 패치가 없더라도 탐지 규칙이나 방화벽 설정 같은 부분적 완화는 가능하다. Google Project Zero의 90일 정책 이후 형성된 정해진 기한(deadline) 문화도 이 입장과 맞닿아 있다.

반대로 신중한 공개를 지지하는 쪽은 패치 없는 기술 세부 정보가 공격자에게 즉각적인 무기가 될 수 있다고 본다. 익스플로잇 코드(PoC)까지 공개되면 스크립트 키디(Script Kiddie) 수준의 공격자도 악용할 수 있다. 패치 직후 공개는 아직 패치를 적용하지 못한 조직을 취약한 상태에 남기며, Microsoft의 90일 이내 응답 및 패치 배포라는 관행적 협의 틀을 무시한다는 지적도 있다.

패치 거버넌스에서 남은 과제

이번 사건은 Microsoft 패치 관리 체계의 품질과 속도 문제도 드러낸다. 최근 수년간 Patch Tuesday 패치가 새로운 버그를 유발하거나(Regression), 취약점을 불완전하게 봉합(Incomplete Fix)해 변형 취약점이 재발하는 사례가 반복됐다. GreenPlasma의 BitLocker TPM 관련 결함 역시 이전 패치의 부분적 수정이 남긴 공격 면적에서 비롯된 것으로 분析된다.

MSRC(Microsoft Security Response Center)는 취약점 수용(Acknowledgment)부터 패치 배포까지 평균 90-120일이 걸린다. 복잡한 커널 취약점은 6개월 이상 소요되는 사례도 있다. Chaotic Eclipse가 공개를 택한 배경에는 이 긴 대응 주기에 대한 불만이 작용했을 가능성이 높다.

버그 바운티의 최대 보상액과 지급 속도를 개선해 연구자가 비공개 채널을 선택할 인센티브를 강화하는 방안이 제시된다. 분기별 패치 품질·속도 지표를 공개하는 패치 투명성 보고서도 자체 책임성을 높이는 수단이 될 수 있다.

제로데이 공개 시 48시간 내 임시 완화 가이드를 발표하고 30일 내 정식 패치를 배포하는 긴급 대역 외 패치(OOB) 기준을 표준 프로세스로 세우는 방안도 있다. 연구자와 벤더가 공개 시점을 합의하는 CVD(Coordinated Vulnerability Disclosure) 절차는 법적 구속력 없이 업계 표준으로 공식화하는 방향이 거론된다.

YellowKey·GreenPlasma·MiniPlasma는 Defender, BitLocker, 커널이라는 Windows 핵심 계층을 동시에 위협한다. 조직은 위험 기반 우선순위와 배포 파이프라인을 적용하고, 패치 전후 SIEM 탐지 규칙과 임시 완화 조치를 함께 운영해야 한다.