막아주던 프로그램이 입구가 됐다: RoguePlanet이 노린 마이크로소프트 디펜더 제로데이

이미지 출처: The Hacker News

윈도우를 쓰는 사람이라면 거의 대부분 켜 두고 사는 게 마이크로소프트 디펜더(Microsoft Defender)다. 따로 백신을 깔지 않아도 OS에 붙어 백그라운드에서 조용히 돌아가니, 어지간한 위협은 이 친구가 1차로 걸러준다고 믿게 된다. 그런데 이번에는 그 믿음의 대상이 거꾸로 표적이 됐다. 마이크로소프트가 디펜더에서 실제로 악용되고 있는 제로데이 취약점을 공식 인정했고, 'RoguePlanet'이라 불리는 공격 묶음이 이를 노렸다는 것. 더 신경 쓰이는 대목은 패치가 "아직 개발 중"이라는 점이다. 막아야 할 도구에 구멍이 났는데 메우는 도구는 아직 안 나온, 딱 그 어정쩡한 공백 구간에 우리가 서 있는 셈이다.

핵심 요약

• 마이크로소프트가 디펜더의 제로데이를 공식 확인했고, RoguePlanet 캠페인이 실제 악용 중임
• 패치는 개발 단계라 당분간 '패치 공백' 구간을 가정·운영해야 함
• 방어 핵심은 보안 도구 자체의 무결성 점검, 정의·엔진 최신화, 그리고 우회를 전제로 한 다층 탐지

왜 '보안 소프트웨어 자체'를 노리는가

공격자 입장에서 가장 매력적인 표적은 권한이 높으면서 늘 켜져 있는 프로세스다. 안티멀웨어 엔진은 거의 시스템 최고 권한으로, 부팅 직후부터 끊임없이 동작한다. 여길 비틀 수 있으면 얻는 게 많다는 뜻이다.

• 탐지 무력화: 엔진이 스스로 못 보거나 못 막게 만들면, 그 뒤의 악성 행위는 사실상 무방비로 흘러감.
• 권한 상승: 보안 서비스가 가진 높은 권한 맥락을 빌려 일반 사용자 권한에서 더 깊은 곳으로 파고들 여지가 생김.
• 은폐: '신뢰받는 보안 프로세스'의 외피를 쓰면 방어자 눈에도, 다른 탐지 로직에도 잘 안 걸림.

RoguePlanet이 정확히 어떤 내부 결함을 건드렸는지 세부 메커니즘은 패치 전까지 절제해서 보는 게 맞다. 다만 공격 흐름은 개념적으로 '신뢰받는 보안 컴포넌트의 처리 과정을 비틀어, 본래 차단됐어야 할 코드를 정상 맥락처럼 통과시키는' 형태로 이해하면 충분하다. 재현 코드를 들고 다닐 이유는 없고, 우리가 챙겨야 할 건 '그래서 뭘로 알아채고 뭘로 막느냐'다.

패치 공백 동안, 방어자가 당장 할 일

패치가 없다고 손 놓고 있을 순 없음. 제로데이 대응의 기본은 '단일 방어선이 뚫렸다고 가정하고, 나머지 겹을 두껍게' 하는 것임.

• 엔진·정의 최신화 강제: 코드 패치와 별개로, 클라우드 기반 보호와 시그니처·엔진 업데이트가 켜져 있고 최신인지 확인. 공급사는 보통 정식 패치보다 먼저 탐지 규칙을 밀어주는 경우가 많음.
• 보안 도구 무결성 점검: 디펜더 관련 서비스가 임의로 중지·변조됐는지, 예외(제외) 목록에 수상한 경로가 추가됐는지 정기적으로 비교. 공격자는 흔히 '탐지 예외'를 슬쩍 끼워 넣음.
• 클라우드 보호·변조 방지 켜두기: 클라우드 전달 보호와 변조 방지(Tamper Protection) 옵션을 활성화하면, 로컬에서 보안 설정을 끄려는 시도 자체를 한 겹 더 막을 수 있음.
• 최소 권한 원칙: 일반 업무 계정에서 관리자 권한을 분리. 보안 컴포넌트를 건드리는 시도가 처음부터 권한 벽에 막히도록 함.

무엇을 탐지 신호로 볼 것인가

"디펜더가 뚫렸을 수도 있다"를 전제로 한다면, 디펜더 하나에만 의존하지 않는 관찰 지점이 필요함. 아래는 EDR·로그 기반으로 챙겨볼 만한 신호들.

• 보안 서비스(안티멀웨어 서비스 등)의 비정상 종료·재시작, 또는 설정 변경 이벤트가 짧은 시간에 몰리는 경우.
• 예외 경로·폴더 추가, 실시간 보호 비활성화 같은 보안 약화성 변경이 사용자 작업 시간과 무관하게 발생하는 경우.
• 평소 보안 프로세스가 만들지 않던 자식 프로세스 생성, 또는 보안 프로세스 맥락에서의 외부 통신.
• 방화벽·프록시 로그에서 알려진 RoguePlanet 인프라로 추정되는 목적지로의 비콘성 트래픽.

핵심은 '보안 도구의 침묵'을 정상으로 받아들이지 않는 것임. 경보가 안 울리는 게 안전하다는 뜻이 아니라, 눈이 가려졌을 가능성을 의심해야 하는 상황이라는 점.

마무리

제로데이라는 단어는 늘 무섭게 들리지만, 막상 방어자가 할 수 있는 건 의외로 차분한 기본기다. 패치가 나올 때까지는 '뚫렸다고 가정하고 겹을 늘리기', 패치가 나오면 '지체 없이 적용하고 그 사이 흔적을 거꾸로 되짚어보기'. 개인적으로는, 이런 사건이 터질 때마다 내 환경의 변조 방지와 로그 보존 설정부터 다시 들여다보는 습관을 추천한다. 방패가 표적이 되는 시대에는, 그 방패를 지켜보는 또 다른 눈을 우리가 갖고 있어야 하니까. 여러분 환경에서는 보안 도구의 무결성을 어떤 방식으로 확인하고 계신지, 댓글로 같이 나눠봐요.