SYSTEM 권한까지 12초, Lazarus가 쓴 윈도우 제로데이의 동선을 따라가 봄

이미지 출처: The Hacker News

침해사고 대응 보고서를 읽다 보면 "권한 상승"이라는 네 글자가 얼마나 많은 걸 압축해서 담고 있는지 새삼 느낌. 일반 사용자 계정으로 떨어진 악성 코드가 몇 초 만에 SYSTEM으로 올라서는 순간, 그 이후의 모든 방어선은 사실상 무의미해짐. 이번에 공개된 Lazarus의 윈도우 제로데이 활용 사례가 정확히 그 그림이었음.

핵심 요약

• 북한 연계 그룹 Lazarus가 윈도우 커널 계열 제로데이를 악용해 일반 권한에서 SYSTEM 권한으로 올라섬
• 권한 확보 직후 백도어를 심어 지속성을 확보하는, 전형적인 다단계 침투 구조
• 패치가 1차 방어선이지만 실제 탐지는 "권한이 바뀐 직후의 행동"에서 잡아내야 함

제로데이가 무서운 진짜 이유

제로데이라는 단어 자체는 이제 흔해졌지만, 국가 배후 그룹이 쓰는 제로데이는 성격이 조금 다름. 브로커 시장에서 사온 게 아니라 자체 리서치로 발굴해 쟁여둔 뒤, 정말 필요한 표적에만 꺼내 쓰는 식임. 그래서 발견되기까지 시간이 오래 걸리고, 발견됐을 땐 이미 몇 개월치 침투가 끝나 있는 경우가 많음.

Lazarus는 오래전부터 이 패턴을 반복해 왔음. 초기엔 금융권 SWIFT 망을 노렸고, 이후엔 암호화폐 거래소, 최근 몇 년은 방산·항공우주·보안 연구자 개인까지 표적을 넓혔음. 공통점은 초기 침투는 사람을 속여서, 권한 상승은 커널을 속여서 해결한다는 것.

일반 권한에서 SYSTEM으로 — 개념적으로 어떤 일이 벌어지나

윈도우에서 사용자 모드 프로세스는 커널 객체에 직접 손댈 수 없음. 그래서 공격자는 커널 쪽에 존재하는 드라이버나 시스템 컴포넌트의 결함을 노림. 흔히 쓰이는 결함 유형을 개념 수준으로 정리하면 이 정도임.

• Use-after-free — 해제된 커널 객체를 다시 참조하게 만들어, 그 자리에 공격자가 배치해 둔 데이터를 커널이 정상 객체로 착각하게 만듦
• Type confusion — 커널이 객체 타입을 잘못 판단하게 유도해, 원래 접근 불가능한 필드를 읽거나 쓰게 함
• 임의 주소 쓰기 — 커널 메모리 특정 지점에 값을 쓸 수 있게 되면, 자기 프로세스의 토큰을 SYSTEM 프로세스의 토큰으로 바꿔치기하는 게 가능해짐

마지막 항목이 실무에서 말하는 토큰 스틸링인데, 원리는 의외로 단순함. 커널에는 각 프로세스를 표현하는 구조체가 있고 그 안에 보안 토큰 포인터가 들어 있음. PID 4번(System 프로세스)의 토큰 포인터를 읽어서 내 프로세스 구조체에 복사해 넣으면, 그 순간부터 내 프로세스는 SYSTEM임. 코드 몇 줄이 아니라 포인터 하나 바꾸는 일이라는 게 이 공격의 무서운 점.

권한을 얻은 뒤에 하는 일

SYSTEM을 얻었다고 끝이 아님. 오히려 여기부터가 본론임. 이번 사례에서 확인된 후속 동작은 대체로 이런 흐름이었음.

• 보안 제품의 커널 콜백을 무력화하거나, 프로세스 보호 속성을 조작해 EDR의 시야를 좁힘
• 정상 서비스로 위장한 백도어를 설치하고, 서비스 등록이나 예약 작업으로 재부팅 이후에도 살아남게 함
• 명령제어 통신은 HTTPS나 정상 클라우드 서비스 트래픽에 섞어 보내 네트워크 탐지를 회피
• 자격증명을 수집해 내부 다른 시스템으로 횡이동

여기서 방어자가 붙잡을 수 있는 지점이 생김. 익스플로잇 자체는 조용하지만, 익스플로잇 이후의 행동은 절대 조용할 수 없음. 결국 뭔가를 설치하고, 뭔가를 등록하고, 어딘가로 통신해야 하기 때문임.

그래서 무엇을 봐야 하는가

탐지 관점에서 개인적으로 우선순위를 매기자면 이 순서를 추천함.

• 토큰 무결성 급변 — Medium 무결성으로 시작한 프로세스가 부모 프로세스 변화 없이 System 무결성으로 승격되는 패턴. 정상 소프트웨어에서는 거의 나오지 않는 조합임
• 비정상 부모-자식 관계 — 문서 뷰어나 브라우저 렌더러 프로세스가 cmd, powershell, rundll32를 자식으로 띄우는 경우
• 서비스·예약 작업 신규 등록 — 이벤트 ID 7045(서비스 설치), 4698(예약 작업 생성)은 지속성 확보의 가장 흔한 흔적임. 특히 서명 없는 바이너리를 가리키는 경우
• 드라이버 로드 이벤트 — 취약 드라이버를 일부러 들여와 커널 진입점으로 쓰는 BYOVD 기법이 여전히 유효하므로, 신규 커널 모듈 로드는 무조건 기록해 둘 것
• LSASS 접근 — 자격증명 탈취 단계에서 거의 반드시 나타나는 신호이고, 핸들 요청 권한까지 같이 봐야 오탐이 줄어듦

완화는 결국 기본기

제로데이라 패치가 없다는 말은 "그 순간에는" 없다는 뜻이지, 영원히 없다는 뜻이 아님. 공개 이후 패치는 나오고, 실제 피해는 패치가 나온 뒤에도 몇 달씩 방치된 환경에서 훨씬 크게 발생함. 그래서 순서를 이렇게 잡으면 좋겠음.

• 월간 패치를 미루지 않기. 특히 커널·드라이버 관련 항목은 재부팅이 귀찮아도 미루면 안 됨
• 취약 드라이버 차단 목록(HVCI 기반)을 켜서 BYOVD 진입로부터 막기
• 일반 업무 계정을 관리자로 쓰지 않기. 권한 상승 익스플로잇도 결국 시작점이 낮을수록 체인이 길어지고, 길수록 들킬 확률이 올라감
• EDR 로그 보존 기간을 최소 90일 이상으로. 국가 배후 침투는 발견까지 평균 수개월이 걸리므로 로그가 없으면 조사 자체가 성립하지 않음
• 백업은 오프라인 사본을 반드시 하나 유지하기

마무리

이런 사례를 볼 때마다 느끼는 건, 결국 우리가 이길 수 있는 지점은 익스플로잇 그 자체가 아니라 그 앞뒤의 넓은 구간이라는 것. 제로데이를 예측할 수는 없지만, 제로데이를 쓴 다음에 반드시 해야 하는 일들은 꽤 정형화돼 있고 그건 충분히 관측 가능함. 방어자 입장에서는 이 비대칭이 오히려 유리한 조건이라고 생각함.

혹시 사내에서 토큰 무결성 승격 탐지 룰을 이미 운영 중이신 분 계시면 오탐 줄이는 노하우 좀 댓글로 나눠주시면 좋겠음. 저도 임계값 잡는 데 계속 애먹고 있어서 같이 다듬어 보아요!