익명의 보안 연구자 "Nightmare Eclipse"가 CrowdStrike Falcon 엔드포인트 보안 소프트웨어를 악용해 Windows 시스템에서 최고 권한(SYSTEM)을 탈취할 수 있는 제로데이(패치가 아직 없는 취약점) 익스플로잇 "FalconFlank"를 공개했습니다. 이 취약점은 최신 Windows 11 및 Windows Server 2025 환경에서도 동작하며, 사이버보안 전문가 Kevin Beaumont에 의해 실제 작동이 확인되었습니다. CrowdStrike는 현재 조사 중이며, 임시 대응책으로 Microsoft Office의 "File Suspicious Macro Removal" 정책 설정을 비활성화하도록 고객에게 권고했습니다. 같은 연구자는 이번 주 Kaspersky, Avast, Nvidia 제품에 대한 제로데이도 함께 공개했으며, Microsoft 제품을 노린 다수의 제로데이도 이미 앞서 공개한 바 있습니다.
익명 연구자 Nightmare Eclipse가 CrowdStrike Falcon의 Office 악성 매크로 치료 기능을 악용해 SYSTEM 권한을 획득하는 제로데이 익스플로잇 'FalconFlank'를 공개했다. CVE는 아직 미부여 상태이며, 동 연구자는 같은 주에 Kaspersky, Avast, Nvidia를 대상으로 한 제로데이도 추가 공개했다.
최신 Windows 11 25H2 및 Windows Server 2025에서 CrowdStrike Falcon이 설치된 모든 시스템이 영향을 받는다. 공격 성공 시 일반 사용자 권한에서 SYSTEM 권한으로 상승이 가능하며, 시스템 전체 제어가 가능해진다.
CrowdStrike Falcon Sensor의 Office 악성 매크로 치료(File Suspicious Macro Removal) 기능에서 권한 검증 로직 결함이 존재하며, 이를 DLL 로드 기법으로 우회해 SYSTEM 권한 명령 프롬프트를 실행할 수 있다.
CrowdStrike는 Microsoft Office의 'File Suspicious Macro Removal' Windows 정책 설정 비활성화를 권고했으며, Cloud Anti-malware for Microsoft Office Files 설정으로 보호가 유지된다고 밝혔다. 상세 기술 권고(Tech Alert)는 CrowdStrike 지원 포털 로그인 고객만 열람 가능하다.
CrowdStrike Falcon을 운영하는 기업은 즉시 지원 포털에서 FalconFlank Tech Alert를 확인하고, Microsoft Office File Suspicious Macro Removal 정책을 비활성화해야 한다. 공식 패치 전까지 해당 기능 비활성화가 유일한 완화 조치이며, 동일 연구자가 공개한 Kaspersky, Avast, Microsoft 대상 제로데이도 함께 점검할 필요가 있다.
본문
"Nightmare Eclipse"라는 핸들을 사용하는 익명의 보안 연구자가 CrowdStrike Falcon의 제로데이 익스플로잇 "FalconFlank"를 공개했다. 이 익스플로잇을 이용하면 공격자가 최신 패치가 적용된 Windows 시스템에서 권한을 상승시킬 수 있다.
Nightmare Eclipse에 따르면 이 신규 취약점(아직 CVE ID가 부여되지 않은 상태)은 최신 버전의 Windows 11 및 Windows Server, 그리고 CrowdStrike의 엔드포인트 보안 플랫폼을 실행하는 장치에 영향을 미친다.
공격에 성공하면 CrowdStrike Falcon의 Office 악성 매크로 치료(remediation) 기능을 악용해 SYSTEM 권한이 부여된 명령 프롬프트를 실행할 수 있다.
Nightmare Eclipse는 다음과 같이 밝혔다. "FalconFlank는 CrowdStrike Falcon Sensor의 Office 악성 매크로 치료 기능을 악용하는 제로데이 권한 상승 익스플로잇입니다. 공개 시점에 CrowdStrike가 이미 탐지 룰을 추가했을 것이므로, 테스트하려면 제외 목록에 추가하거나 PoC(개념 증명 코드)를 난독화하고 DLL 로드 기법을 변경해야 합니다. 현재 완전히 업데이트된 Windows 11 25H2 및 Windows Server 2025 with CrowdStrike Falcon 환경에서 동작합니다."
BleepingComputer가 이 취약점에 대한 추가 정보를 요청하자 CrowdStrike 대변인은 연구자의 주장을 조사 중이라고 밝히며, 고객에게 보안 소프트웨어의 File Suspicious Macro Removal 기능을 전환하는 Microsoft Office Windows 정책 설정을 비활성화하도록 권고했다.
대변인은 BleepingComputer에 "해당 주장을 적극적으로 조사 중이며, 고객들에게 Microsoft Office File Suspicious Macro Removal Windows 정책 설정을 비활성화할 것을 권고합니다. 고객 보호는 Microsoft Office 파일을 위한 Cloud Anti-malware 설정을 통해 계속 유지됩니다. FalconFlank Tech Alert는 CrowdStrike 지원 포털을 참고하시기 바랍니다"라고 말했다.
회사는 FalconFlank 제로데이 익스플로잇 관련 기술 권고(Tech Alert) 링크도 공유했지만, 해당 권고는 공개되어 있지 않으며 CrowdStrike 지원 포털 계정이 있는 고객만 열람할 수 있다.
이번 주 Nightmare Eclipse는 Kaspersky Antivirus for Endpoint를 대상으로 한 권한 상승 제로데이(HardBreacher), GenDigital Avast Antivirus 대상 제로데이(PrettyPrague), 그리고 시스템 충돌을 유발하는 Nvidia 대상 서비스 거부(DoS) 제로데이(GreenSection)도 함께 공개했다.
사이버보안 전문가 Kevin Beaumont는 목요일 Nightmare Eclipse가 이번 주 공개한 권한 상승 익스플로잇들이 실제로 작동한다는 사실을 확인했다.
Nightmare Eclipse는 4월부터 Microsoft Defender, BitLocker 및 기타 다양한 Windows 구성 요소를 포함한 다수의 Microsoft 제품을 대상으로 하는 제로데이 익스플로잇도 공개해 왔다.
이들 Microsoft 제로데이는 LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, UnDefend으로 알려져 있다. LegacyHive, RoguePlanet, YellowKey, GreenPlasma, MiniPlasma의 취약점은 이후 수정되었으나, 나머지 보안 결함은 여전히 제로데이 상태로 공식 패치를 기다리고 있다.
Nightmare Eclipse가 처음 제로데이를 공개한 이후, Microsoft는 "고객에게 실질적인 피해를 야기하는 악의적인 활동"에 대해 법적 조치를 경고하는 성명을 발표했으며, 이를 두고 많은 이들은 해당 보안 연구자를 직접 겨냥한 위협으로 받아들였다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
