사냥하든, 사냥당하든: ShieldBreak 제로데이

2026년 8월 11일에서 한 보안 연구원이 ‘ShieldBreak’라는 개념 증명(PoC)을 공개했는데, 이는 Windows Defender의 권한 상승 취약점에 대한 마이크로소프트가 지난 7월에 배포한 패치(RoguePlanet)를 완전히 우회하는 것으로, Windows 11 25H2 및 Windows Server 2025에서 100%의 성공률을 보인 것으로 보고되었다. 이 우회 경로에 대한 공급업체의 수정 사항은 존재하지 않았습니다. 유일한 진정한 방어책은 누가 먼저 움직이느냐에 달려 있었다.

ShieldBreak는 예외적인 사례가 아닙니다. 타늄(Tanium)의 고객 기반을 대상으로 한 내부 텔레메트리 데이터에 따르면, 2026년 중반 이후 매일 발견되는 새로운 취약점의 수가 급증했으며, 이는 지난 9개월 동안 추적한 안정적인 기준치보다 약 4~5배 높은 수준이며, 아직까지 감소세를 보이지 않고 있습니다. 이런 형태의 증가세를 포착한 것은 우리뿐만이 아닙니다. Epoch AI의 독립적인 데이터( (새 탭에서 열림) )에 따르면, 같은 기간 동안 주요 기업들로부터 보고된 중대 및 고위험 취약점의 수가 마찬가지로 급격히 증가한 것으로 나타났습니다. 이제 공급업체의 패치를 기다리는 것은 더 이상 신뢰할 만한 전략이 아닙니다. 선두를 달리는 조직들은 위협이 악용되기 전에 이를 선제적으로 탐지하고, 위협이 나타나는 즉시 실시간 엔드포인트 데이터를 조회할 수 있는 조직들입니다.

“제로데이 공격의 경우, 사전에 데이터를 수집해 두었다가 SIEM이나 EDR에 올바른 텔레메트리 데이터가 미리 수집되어 있기를 바랄 수만은 없습니다.” Tanium을 사용하면 엔드포인트 환경의 실시간 데이터를 조회하여 취약한 부분이 어디인지 즉시 파악할 수 있습니다. “그리고 최악의 경우, 자신이 착취당하고 있는 상황을 그 일이 벌어지는 바로 그 순간에 정확히 파악할 수 있습니다.” — 아론 스미스, 위협 탐지 팀장

당일 대응은 어떻게 이루어졌는가

HuntIQ 위협 연구팀은 ShieldBreak 개념 증명(PoC)이 공개된 지 약 1시간 만에 실험실에서 이를 실행에 옮겼습니다. 이 기법 자체는 매우 특이합니다. 악성 클라우드 스토리지 공급자를 등록하고, 이를 로그 조작 및 심볼릭 링크와 결합하여 Windows Defender의 검사 프로세스를 속여 정상적인 시스템 파일을 악성 파일로 교체하게 한 뒤, 결국 셸을 생성합니다. 사냥꾼들은 그 세부 사항을 바탕으로 신속하게 초기 탐지 계획을 수립했다.

이후 헌터 팀은 5만 개 이상의 엔드포인트를 대상으로 신호를 테스트하고, 위협 인텔리전스 정보를 바탕으로 지표를 교차 검증한 결과, 해당 익스플로잇이 이미 실제 환경에서 사용되고 있음을 확인했습니다.

확인되자마자 Tanium은 모든 클라우드 고객에게 문제 해결 및 롤백 패키지를 제공했으며, 이는 Guardian 대시보드 내에서 전달되어 실제로 노출된 엔드포인트를 자동으로 파악해 주었습니다.

특정 신호에 연동된 사전 구성된 자동 대응 규칙을 설정해 둔 고객들의 경우, 악용 프로세스가 나타나는 즉시 Tanium Atlas에 의해 종료되었으며, 분석가의 개입이 전혀 필요하지 않았습니다.

압축된 이해관계

버라이즌의 ‘ 2026 데이터 침해 조사 보고서’ (새 탭에서 열림) 에 따르면, 악용 사실이 확인된 취약점을 수정하는 데 걸리는 시간의 중앙값은 43 일인 것으로 나타났습니다. 일반적으로 몇 주가 걸리는 작업 — 취약점 익스플로잇의 리버스 엔지니어링, 수동 탐지, 오탐지 테스트, 수정안 작성 및 승인, 패치 배포, 그리고 사후 침해 탐지 — 을 Tanium의 전담 침해 탐지 팀이 시작부터 끝까지 48 시간 만에 완료하여 업계 평균보다 95% 더 빠른 성과를 거두었습니다.

Tanium Security Operations가 제공하는 것은 바로 위협의 명칭조차 정해지기 전에 이를 탐지하고, 위험을 완화하며, 확산을 차단하는 것입니다.

• Tanium Security Operations와 HuntIQ를 통해 차기 제로데이 공격에 한 발 앞서 대비하는 방법을 알아보세요
• 전체 기술 분석 기사 읽기: ShieldBreak: 패치가 없는 Windows Defender 제로데이 취약점 — 그리고 이에 대한 대처 방법