it-sue

또 라자루스라니, 라는 생각이 먼저 들었다. 2026년 8월 마이크로소프트의 정기 보안 패치 소식을 접했을 때 이야기다. 매달 반복되는 패치 튜즈데이 뉴스 중에서도 유독 눈길이 갔다. 이번엔 윈도우 커널 드라이버가 뚫렸기 때문이다.

무슨 일이 있었나

이번 라자루스 제로데이 사태의 전말은 이렇다. 보안 매체 BleepingComputer에 따르면 마이크로소프트는 이달 패치에서 총 400개 가까운 결함을 손봤다. 그중 3건은 제로데이 취약점이었다. 이미 실전 공격에 악용된 취약점도 하나 포함돼 있었다.

바로 CVE-2026-68820, 윈도우 네트워크 드라이버 AFD.sys의 권한 상승 취약점이다. 이 취약점을 실제로 악용한 배후로 북한 연계 해킹조직 라자루스가 지목됐다. 보안 업체 체크포인트의 분석에 따르면, 공격자는 채용 담당자를 사칭해 접근한 것으로 알려졌다. 이른바 ‘오퍼레이션 드림 잡’ 수법이다.

방산·항공우주 업체 직원이 주 표적이었던 것으로 추정된다. 프랑스, 독일, 브라질, 인도 등 여러 국가의 관련 기업이 거론된다. 실제 채용 담당자를 사칭해 접근했다는 정황도 나온다.

왜 하필 커널 드라이버인가

필자가 보기엔 이 지점이 이번 사건의 진짜 핵심이다. 애플리케이션 레벨 취약점은 방화벽이나 백신에 걸릴 가능성이 크다. 하지만 커널 드라이버는 다르다. 운영체제 자체를 신뢰하는 구조이기 때문에 탐지가 훨씬 어렵다.

이번에 쓰인 침투 도구도 낯설지 않다. 라자루스가 오랫동안 써온 커널 모드 루트킷 FudModule의 새 버전으로 알려졌다. 이번 버전은 윈도우의 스마트 앱 컨트롤 기능까지 무력화하는 것으로 파악됐다. 보안 기능을 보안 기능으로 뚫는 셈이다. 개인적으로는 이 부분이 가장 섬뜩했다.

반복되는 패턴

사실 라자루스가 커널 권한을 노린 게 이번이 처음은 아니다. 2022년엔 서명된 정상 드라이버를 악용하는 BYOVD 기법을 썼다. 2024년엔 실제 제로데이로 AppLocker 드라이버를 뚫었다. 이번 라자루스 제로데이는 이 흐름의 세 번째 사례에 가깝다. 아래 표로 정리해봤다.

시점	악용 대상	수법 특징
2022년	서명된 정상 드라이버(BYOVD)	자체 취약점 없이 인증서만 도용해 커널 진입
2024년 (CVE-2024-21338)	appid.sys (AppLocker 드라이버)	실제 제로데이로 커널 권한 최초 획득
2026년 (CVE-2026-68820)	afd.sys (WinSock 드라이버)	use-after-free 경쟁조건으로 SYSTEM 권한 탈취

표로 놓고 보면 흐름이 뚜렷하다. 매번 방식은 조금씩 진화했다. 하지만 목표는 한 번도 바뀐 적이 없다. 커널 권한, 그리고 탐지 회피다. 여기서 눈에 띄는 건 학습 속도다. 국가 배후 조직답게 시행착오를 축적하는 능력이 남다르다는 인상을 받았다.

제로데이와 패치 사이의 시차

체크포인트는 이 취약점을 지난 7월 말 마이크로소프트에 신고했다고 밝혔다. 하지만 실제 악용은 그보다 훨씬 앞선 6월 초부터였던 것으로 파악된다. 짧게는 5주 넘게 공격자가 먼저 움직인 셈이다. 이 시차가 바로 제로데이 공격의 본질이다.

솔직히 이건 좀 아이러니하다. 보안 연구자와 공격자는 사실 같은 기술을 다룬다. 다만 먼저 발견해 신고하느냐, 먼저 발견해 악용하느냐의 차이다. 앞서 다룬 GitLab 취약점 사례에서도 비슷한 시차 문제를 짚은 적이 있다. 공개와 패치, 패치와 적용 사이마다 빈틈이 생긴다.

마이크로소프트와 보안 업계의 대응

마이크로소프트는 이번 CVE-2026-68820을 포함해 이달 패치를 모두 배포했다. Forbes 보도는 이례적으로 강한 어조로 즉시 패치 적용을 권고했다. 그만큼 위험도가 높다고 판단한 것으로 보인다.

보안 업계 반응도 빨랐다. 체크포인트를 비롯한 여러 연구기관이 관련 지표를 신속히 공유했다. 다만 이런 대응은 대부분 사후적이다. 공격이 이미 몇 주간 진행된 뒤에야 방어선이 마련되는 구조다. 이 구조 자체를 바꾸긴 쉽지 않아 보인다.

IT-SUE의 시각

이번 사건에서 필자가 주목하는 지점은 따로 있다. 단순히 ‘또 하나의 제로데이’가 아니라는 점이다. 국가 배후 조직이 상업용 보안 솔루션을 정면으로 겨냥했다는 사실이 더 무겁다. 스마트 앱 컨트롤 같은 최신 방어 기능조차 우회 대상이 됐다.

개인적으로는 기업들이 패치 적용 속도만 논할 때가 아니라고 본다. 커널 레벨 신뢰 구조 자체를 재검토할 시점이라 생각한다. 드라이버 서명 정책, 최소 권한 원칙, 이상행위 탐지까지 다층적으로 손봐야 한다. TeamPCP 사건과 마찬가지로, 이번 라자루스 제로데이 사례도 결국 신뢰 체계의 문제로 귀결된다.

라자루스가 다음엔 어떤 드라이버를 노릴지는 아무도 모른다. 다만 패턴은 이미 세 번 반복됐다. 국가 배후 해킹조직에게 윈도우 커널은 여전히 가장 매력적인 표적이다. 이 흐름이 쉽게 꺾이진 않을 것 같다는 게 필자의 전망이다.