윈도 디펜더가 공격 도구로…MS 정상 드라이버 악용해 보안 기능 제거

핵심 요약

마이크로소프트 윈도 디펜더의 정상 드라이버를 악용하여 보안 기능을 무력화하는 'BTR Reforged' 공격 기법이 공개되었다. 이 기법은 윈도우 운영체제의 기존 구성 요소를 활용하여 방어 메커니즘을 우회하며(T1562 Impair Defenses), 윈도우 7부터 윈도우 11 25H2까지 광범위한 버전에 영향을 미칠 수 있다. 현재까지 실제 공격에서 사용된 증거는 확인되지 않았으나, IT 감사인은 조직 내 윈도우 시스템의 보안 설정 및 무결성 검증 절차를 강화하고, 알려지지 않은 위협에 대한 탐지 및 대응 역량을 점검해야 함을 시사한다.

💡 개선 권고안

• ✔기술적 조치윈도우 운영체제(Windows OS)를 사용하는 모든 시스템에 대해 최신 보안 업데이트 및 패치를 신속하게 적용하여 알려진 취약점 및 우회 기법에 대한 방어력을 강화할 것을 권고함.
• ✔기술적 조치엔드포인트 탐지 및 대응(EDR) 솔루션, SIEM 등 보안 솔루션의 탐지 규칙을 고도화하여 윈도우 디펜더 등 핵심 보안 기능의 무력화 시도 및 정상 드라이버 악용 행위를 탐지할 수 있도록 설정 및 모니터링 체계를 강화할 것을 권고함.
• ✔기술적 조치윈도우 시스템의 드라이버 무결성 검증 기능(예: HVCI, 드라이버 서명 강제)이 활성화되어 있는지 점검하고, 비정상적인 드라이버 로드 시도를 차단하는 정책을 적용해야 함을 권고함.
• ✔관리적 조치윈도우 시스템의 보안 설정 및 무결성 점검 절차를 정기적으로 수행하고, 잠재적 위협에 대한 대응 계획을 수립하여 비상 상황 발생 시 신속하게 조치할 수 있도록 준비할 것을 권고함.
• ✔관리적 조치보안 담당자 및 시스템 관리자를 대상으로 윈도우 시스템의 방어 회피 기법 및 최신 공격 동향에 대한 보안 교육을 강화하여 위협 인지도를 높일 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문