마이크로소프트는 화제가 되었던 Windows 10/11 빌드 1903 출시 후 불과 한 달 만에, 최신 버전의 Windows OS에 대해 일부 업그레이드를 강제로 진행하겠다고 사용자들에게 경고했습니다. 이는 해당 OS에 해커에게 관리자 수준의 권한을 부여해 파일 삭제, 앱 설치, 애플리케이션 실행이 가능해지는 보안 취약점이 여러 차례 발견되었기 때문입니다.
이번 Windows 10/11 업데이트 경고는 악명 높은 Windows 취약점 사냥꾼인 SandboxEscaper가 누구나 Windows 10/11 및 Server 2019 머신에 대한 '완전한 제어권'을 얻을 수 있는 다수의 익스플로잇을 공개한 데 따른 것입니다.
이러한 보안 취약점의 공개는 마이크로소프트에게 최악의 타이밍입니다. 최신 Windows 10/11 업데이트 배포에 앞서 마이크로소프트는 업데이트 프로세스에 대해 더 큰 통제권, 품질, 투명성을 사용자에게 제공하겠다고 약속한 바 있습니다. 실제로 사용자는 업데이트 일정을 조정하거나 연기할 수 있었고, PC 사용 중임을 자동으로 감지해 사용자가 자리를 비울 가능성이 높은 시간대로 업데이트를 예약하는 지능형 활동 시간(Intelligent Active Hours) 옵션도 활성화할 수 있었습니다.
동시에 새로운 Windows 릴리스는 제로데이 익스플로잇에 덜 취약할 것으로 기대되었습니다. 하지만 현재 상황에서 회사는 체면을 세우기 위해 그 약속을 깨고 사용자 동의 없이 보안 패치를 배포해야 할 처지에 놓였습니다.
PC 최적화 팁
전용 PC 최적화 도구를 활용하면 시스템 오류나 성능 저하를 일으킬 수 있는 잘못된 설정, 정크 파일, 유해 앱, 보안 위협을 손쉽게 제거할 수 있습니다.
무료 PC 문제 진단
다운로드 수: 3,145,873
호환 환경: Windows 10/11, Windows 7, Windows 8
8억 명이 넘는 Windows 사용자 중 대다수를 차지하는 Windows 10/11 Home 사용자가 가장 큰 타격을 입게 됩니다. 어떤 종류의 업데이트도 자동으로 연기할 수 없기 때문입니다. 다행히 최신 익스플로잇과 관련해 유일하게 희망적인 부분이 있다면, 이를 악용하려면 공격자가 해당 컴퓨터에 직접 접근할 수 있어야 한다는 점입니다. 이는 원격 접근을 허용해 사용자 데이터를 삭제하고, Chromium 기반 브라우저의 속도를 늦추며, 게임 성능을 저하시키고, 앱 업데이트를 망가뜨렸던 이전의 Windows 10/11 보안 취약점들과는 대조적입니다.
Windows 10/11 보안 패치 현황
마이크로소프트는 이번 보안 문제에 대한 패치를 약속했지만, 아직 안심하기에는 이릅니다. SandboxEscaper는 회사와의 협조를 거부한 채, 대신 GitHub에 개념 증명(PoC) 데모와 함께 익스플로잇 사용 방법을 설명하는 글을 공개했습니다.
또한 이 해커는 유사한 익스플로잇을 '비서구권 구매자'에게 미상의 통화로 6만 단위에 판매하려 하는 것으로 알려졌습니다. SandboxEscaper가 책임 있는 공개 지침을 따르지 않고 Windows 제로데이 익스플로잇을 공개한 것은 이번이 처음이 아닙니다. 예를 들어 2018년에는 이 독립 개발자가 Windows 작업 스케줄러의 제로데이 취약점을 공개해 악의적인 행위자가 상승된 권한을 획득할 수 있도록 만든 바 있습니다.
당시 해당 익스플로잇은 Windows 작업 스케줄러 API가 권한을 확인하지 않는다는 사실을 악용한 것이었습니다. 마이크로소프트는 이후 이를 패치했지만, 공개된 지 단 이틀 만에 스파이 캠페인에 악용되기 전까지는 아니었습니다.
바로 이러한 과거의 전례 때문에 마이크로소프트는 우려에 빠져 있습니다. 사용자에게 업데이트 프로세스에 대한 더 큰 통제권을 제공하겠다는 약속을 지켜야 하는 동시에, SandboxEscaper 같은 제로데이 익스플로잇 사냥꾼들이 즐기는 추격전에도 끊임없이 대응해야 하기 때문입니다.
네 가지 Windows 10/11 취약점 상세 분석
'ByeBear'로 명명된 최신 익스플로잇은 로컬 공격자가 최근의 CVE-2019-0841 Windows 패치를 우회한 뒤, 프로그램 설치 및 사용자 데이터의 삭제·변경·열람 권한을 획득할 수 있게 합니다. 이 권한 상승 결함은 Windows AppX 배포 서비스(AppXSVC)가 하드 링크를 부적절하게 처리하기 때문에 발생합니다.
SandboxEscaper가 GitHub 글에서 밝힌 CVE-2019-0841 패치의 두 번째 우회 방법은 ("c:\users\%username%\appdata\local\packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\") 경로 내의 모든 파일과 하위 폴더를 삭제한 후 Microsoft Edge를 두 번 실행하는 방식으로 작동합니다. 브라우저는 첫 번째 실행에서 충돌하지만, 두 번째 실행 시 "SYSTEM" 계정을 가장하면서 DACL(임의 액세스 제어 목록)을 작성한다고 그녀는 설명했습니다.
이 두 번째 실행 과정에서 부적절한 가장(impersonation)이 발생해 공격자에게 상승된 액세스 권한이 부여됩니다. SandboxEscaper는 또한 이 버그가 Microsoft Edge에 국한되지 않으며 다른 패키지로도 트리거될 수 있다고 밝혔습니다.
SandboxEscaper의 공개에 포함된 또 다른 제로데이 익스플로잇은 Internet Explorer 11과 관련된 것으로, 공격자가 브라우저에 DLL(동적 링크 라이브러리)을 주입할 수 있게 합니다. 나머지 하나는 Windows 업데이트의 '설치 프로그램 우회(installer bypass)' 문제였습니다.
마이크로소프트의 공식 대응
Internet Explorer 버그와 관련해 마이크로소프트는 "이 취약점을 악용하려면 공격자가 먼저 시스템에 로그온해야 합니다. 이후 공격자는 특수하게 제작된 애플리케이션을 실행해 취약점을 악용하고 영향을 받는 시스템을 장악할 수 있습니다"라고 밝혔습니다. 회사는 이 익스플로잇이 실제로 악용되기 어렵다는 입장인 것으로 보입니다.
이상으로 최신 Windows 10/11 업데이트 경고에 대한 내용을 마무리합니다. 마지막으로, Outbyte PC Repair와 같은 PC 복구 도구로 시스템을 주기적으로 정리해 최신 상태를 유지하고 멀웨어 등 각종 위협으로부터 시스템을 보호하시길 권장합니다. 그렇게 하면 PC가 악의적인 공격자의 쉬운 표적이 되는 일을 막을 수 있습니다.