보안 연구자 Abdelhamid Naceri가 Windows Defender의 바이러스 정의(백신 데이터베이스) 업데이트를 완전히 차단하는 새로운 제로데이(패치가 없는 보안 취약점) 익스플로잇 'BigDiskBuster'를 공개했습니다. 이 도구가 백그라운드에서 실행되면 모든 지원되는 Windows 버전에서 Defender가 업데이트를 받지 못하게 됩니다. Naceri는 2025년 3월 Microsoft에서 부당 해고됐다고 주장하며 올해 4월부터 무려 10여 개의 제로데이 취약점을 연달아 공개하고 있으며, SYSTEM 권한을 탈취할 수 있는 'ShieldCrash' 등 일부는 아직 공식 패치가 없습니다. 기업 보안 담당자는 Defender 정의 업데이트가 정상적으로 이루어지고 있는지 즉시 확인하고, 비정상적인 백그라운드 프로세스를 점검해야 합니다.
보안 연구자 Naceri가 Windows Defender의 플랫폼·서명 업데이트를 완전히 차단하는 제로데이 익스플로잇 'BigDiskBuster'를 공개했다. SYSTEM 권한 탈취가 가능한 'ShieldCrash'도 아직 미패치 상태다.
BigDiskBuster가 실행 중인 시스템은 Defender 업데이트를 받지 못해 최신 악성코드에 노출된다. ShieldCrash는 로컬에서 SYSTEM 권한 획득을 허용해 전체 시스템 장악으로 이어질 수 있다.
Microsoft와 Naceri 사이의 해고 분쟁이 발단이 됐다. Naceri는 2025년 3월 부당 해고를 주장하며 2026년 4월부터 Defender, BitLocker 등을 노린 제로데이를 연속 공개하고 있다.
Microsoft는 ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, MiniPlasma 취약점은 패치했으나, BigDiskBuster와 ShieldCrash를 포함한 나머지 취약점에 대한 공식 패치는 아직 없다.
Defender 정의 업데이트 상태를 모니터링하고, 비정상적인 백그라운드 프로세스를 탐지하는 정책을 즉시 점검해야 한다. Microsoft 공식 패치 발표 전까지 EDR·백신 업데이트 현황을 주기적으로 감사하는 것이 필요하다.
본문
지난 주말, 보안 연구자 Abdelhamid Naceri(일명 Nightmare Eclipse)가 바이러스 백신 업데이트를 차단하는 또 다른 Microsoft Defender 제로데이 익스플로잇을 공개했다.
Naceri는 이 도구에 'BigDiskBuster'라는 이름을 붙이고, 4월에 공개한 또 다른 Defender 제로데이 'UnDefend'와 유사하다고 밝혔다. UnDefend는 일반 사용자 권한으로도 정의 업데이트를 차단할 수 있게 해주는 도구였다.
이 연구자는 BigDiskBuster가 지원되는 모든 Windows 버전에서 동작하며, Defender 업데이트를 차단하려면 백그라운드에서 실행되어야 한다고 덧붙였다.
"재미있는 도구를 만들었다. 도구가 백그라운드에서 실행 중일 때는 Defender가 업데이트를 전혀 받지 못하고 현재 버전에 묶이게 된다"고 그는 말했다.
"이 개념 증명(PoC) 도구는 UnDefend와 유사하다. Windows Defender의 플랫폼 및 서명 업데이트를 막는다. 지원되는 모든 Windows 버전에서 동작하는 것으로 보이지만, PoC 자체는 약간 불안정하고 코드 일부를 다시 작성해야 하는 상태다. 그래도 개념은 이해할 수 있을 것이다."
Naceri는 2025년 3월 Microsoft에서 부당 해고됐다고 주장하는 분쟁의 일환으로 2026년 4월부터 거의 10여 개에 달하는 제로데이 익스플로잇을 연속으로 공개해왔다.
2주 전에도 그는 Microsoft가 이번 달 패치 화요일(Patch Tuesday) 보안 업데이트를 배포한 직후, SYSTEM 권한을 부여하는 또 다른 Defender 제로데이 익스플로잇('ShieldCrash')을 공개했다.
Naceri에 따르면 ShieldCrash는 일주일 앞서 패치된 Defender 권한 상승 취약점 'ShieldBreak'의 우회 방법이며, ShieldBreak 자체도 Naceri가 6월에 공개하고 Microsoft가 7월에 패치한 또 다른 Defender 취약점 'RoguePlanet'을 우회하는 방법이었다.
올해 Naceri가 공개한 제로데이 익스플로잇에는 LegacyHive, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, UnDefend 등도 포함되어 있으며, Microsoft Defender, BitLocker 및 기타 Windows 구성 요소를 표적으로 한다.
Microsoft는 처음에 "고객에게 실질적인 피해를 주는 악의적 행위"에 가담하는 모든 사람에게 법적 조치를 취하겠다고 경고했고, 이는 정보보안(infosec) 커뮤니티 내에서 Microsoft가 해당 보안 연구자를 직접 위협하는 것이라는 해석을 낳았다.
Microsoft는 Naceri가 공개한 취약점 중 일부(ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, MiniPlasma)는 수정했지만, 나머지 보안 문제들은 아직 공식 패치가 없는 상태다.
BleepingComputer가 BigDiskBuster 서비스 거부(DoS) 제로데이와 관련해 문의했을 때 Microsoft 대변인은 즉각적인 답변을 내놓지 않았다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 논의합니다.
자리 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
