새로운 Windows 제로데이 취약점 SignDrop으로 시스템 권한 획득 가능

보안 연구원 Abdelhamid Naceri가 공격자가 시스템 권한을 획득할 수 있게 하는 새로운 Windows 제로데이 취약점 공격 방법을 공개했습니다.

SignDrop으로 명명된 이 취약점은 공통 로그 파일 시스템 드라이버의 취약점을 겨냥한 인증 공격을 방어하기 위해 Microsoft가 2025년 10월에 도입한 완화 조치를 악용합니다. Naceri는 해당 완화 조치 이후 공통 로그 파일 시스템 취약점을 이용한 공격은 급격히 감소했으나, Microsoft의 완화 조치 자체가 이번 새로운 취약점을 유발했다고 설명했습니다.

이 결함은 공통 로그 파일 시스템이 새로운 로그 파일을 생성할 때 인증 파일을 처리하는 방식에서 발생합니다. 초기에는 액세스 확인이 올바르게 수행되지만, 이후 권한이 있는 다른 프로세스가 로그 파일을 열 경우 해당 로직이 악용될 수 있습니다. Windows Defender와 같은 권한 있는 프로세스가 파일을 열도록 강제하면 인증 파일이 시스템 권한으로 생성되며, 공통 로그 파일 시스템은 이를 원래 파일의 액세스 권한으로 생성합니다.

Naceri는 Microsoft가 완화 조치를 적절히 구현했음에도 불구하고 로직상 악용이 가능하다고 지적했습니다. 특히 파일 생성 요청이 안티멀웨어 엔진의 정당한 프로세스에서 오는 것으로 보이기 때문에, 모든 안티멀웨어 엔진의 자체 방어 또는 변조 방지 기능을 우회할 수 있습니다. 이는 커널 드라이버 관점에서 요청이 정당한 프로세스로부터 오는 것으로 인식되어 통과되기 때문에, 모든 백신이나 엔드포인트 탐지 및 대응 솔루션을 끌 수 있는 독특한 취약점이 됩니다.

이 공격은 모든 Windows 기기에 적용되지는 않지만, Windows 11 26H2, Windows 11 26H2 실험 버전, Windows Server 2025 실험 버전에서 테스트되었습니다. Naceri는 Windows 설치 사례의 80%가 이 취약점에 노출되었을 것으로 추정합니다.

사용자는 개념 증명 공격 코드를 실행하거나 레지스트리 값의 인증 모드가 0 또는 1인지 확인하여 취약 여부를 점검할 수 있습니다. 현재로서는 Microsoft의 패치를 기다리는 것 외에 해결책이 없으며, 공통 로그 파일 시스템 완화 조치를 비활성화하면 메모리 손상 취약점을 이용한 공격에 노출될 수 있습니다.