보안2026. 11. 13. 오후 10:29 UTC·2 분 소요

SignDrop 윈도 제로데이, 디펜더로 SYSTEM 권한 탈취

마이크로소프트와 갈등 중인 연구자가 윈도 제로데이 SignDrop을 공개했다. 디펜더를 이용해 일반 사용자가 SYSTEM 권한을 얻을 수 있다.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit. — 이미지: Ars Technica

마이크로소프트와 공개적으로 다투고 있는 연구자가 또 윈도 제로데이 취약점을 공개했다. SignDrop이라는 이 취약점은 윈도 디펜더를 이용해 일반 로컬 사용자에게 최고 수준의 SYSTEM 권한을 쥐여 준다.

화요일 이를 공개한 Nightmare Eclipse는 가명을 쓰는 연구자로, 최근 몇 달간 윈도 제로데이를 여러 차례 내놓았다. 문제는 CLFS(Common Log File System)에 있다. 마이크로소프트는 CLFS를 사용자 모드와 커널 모드 소프트웨어가 쓰는 범용 로깅 서비스라고 설명한다.

SignDrop은 어떻게 작동하나

공격자는 디펜더의 정상 기능인 ServerMpUpdateEngineSignature를 호출해, 직접 만든 CLFS 로그 파일을 디펜더가 열게 한다. Object Manager 심볼릭 링크를 조작하면 파일이 안티멀웨어 엔진의 보안 컨텍스트에서 열린다. 관련 인증 파일이 없으면 CLFS는 디펜더의 SYSTEM 권한으로 이를 생성한다. 이때 원본 파일의 DACL(접근 제어 목록)을 그대로 물려받아, 공격자가 해당 파일에 접근할 수 있게 된다.

아이러니하게도 원인은 마이크로소프트가 2025년 10월 CLFS의 다른 취약점을 막으려고 도입한 보안 조치다. 연구자는 마이크로소프트가 모든 것을 제대로 했지만 로직이 악용을 허용한다고 썼다. 같은 방식으로 다른 안티멀웨어의 자기 보호 기능도 우회할 수 있다고 주장한다.

어떤 윈도가 영향을 받나

연구자에 따르면 윈도 11 26H2, 윈도 11 26H2 Experimental, 윈도 서버 2025 Experimental에서 작동했다. CLFS 인증 모드가 학습 모드이거나 강제 모드이면 취약하다.

연구자 윌 도먼은 재현에 성공했고 설명대로 작동하지만 모든 윈도 11에서 되는 것은 아니라고 말했다. 26H2이면서 설치 후 90일 이상 지난 시스템이 필요해 보인다고 한다. 레지스트리의 CLFS\Authentication\Mode 값이 0 또는 1이어야 하는데, 그가 쓰는 많은 기기 중 조건에 맞은 것은 하나뿐이었다. 버전은 winver 명령으로 확인할 수 있다.

마이크로소프트는 조사 중이며 실제 악용 증거는 없고, 디펜더가 악용 시도를 차단한다고 밝혔다.