마이크로소프트(MS)가 윈도우 핵심 관리 인터페이스인 ‘관리 콘솔(MMC: Microsoft Management Console)‘에서 발견된 심각한 원격 코드 실행(RCE) 제로데이 취약점을 긴급 패치했습니다. 해커가 피싱 이메일을 통해 정교하게 조작된 ‘.msc’ 파일을 열도록 유도할 경우, 보안 백신의 탐지를 우회하여 피해자 PC에서 임의의 악성코드를 권한 상승 상태로 실행할 수 있는 위험이 확인되었습니다. 취약점의 공격 기법과 기업 전산망을 지키기 위한 보안 대응책을 전해드립니다.
취약점 발생 메커니즘 분석
Windows 관리 콘솔(mmc.exe)은 이벤트 뷰어, 디스크 관리자, 로컬 그룹 정책 편집기 등 관리 도구를 통합 실행하는 기본 시스템 프로세스입니다.
- XML 파싱 검증 결함 악용: MSC 파일은 구조화된 XML 포맷으로 구성되어 있습니다. 이번 제로데이 결함은 외부 MSC 스냅인을 로딩하는 과정에서 입력값 검증이 미흡하여, 공격자가 원격지의 악성 DLL 라이브러리나 스크립트를 강제로 주입할 수 있도록 허용했습니다.
- Mark of the Web (MotW) 보안 무력화: 웹에서 다운로드된 파일에 부여되는 인터넷 식별 표식(Zone.Identifier)을 교묘히 우회하여, 윈도우 디펜더 스마트스크린의 위험 경고창을 띄우지 않고 사용자가 무심코 실행하게 만드는 치밀함을 보였습니다.
영향받는 운영체제
- Windows 11 및 Windows 10 전기종
- Windows Server 2022, 2019, 2016
전산 보안 담당자가 즉시 취해야 할 3대 조치
- 윈도우 보안 누적 업데이트 즉각 배포: 사내 모든 PC와 윈도우 서버에 배포된 최신 보안 업데이트를 최우선 순위로 설치합니다.
- 이메일 게이트웨이에서
.msc첨부파일 차단: 업무용 이메일로 MSC 파일이 정상 유통되는 경우는 사실상 전무하므로, 사내 메일 방화벽에서 확장자.msc파일을 격리 차단합니다. - AppLocker 및 WDAC를 통한 일반 사용자 MMC 실행 제한: 일반 업무용 단말기에서 관리자 권한이 없는 직원이
mmc.exe를 임의 실행하지 못하도록 그룹 정책을 강화합니다.