Microsoft가 622개 취약점을 수정한 2026년 7월 패치 화요일 직후, 새로운 Windows 제로데이 개념증명(PoC) LegacyHive가 공개됐다.1 패치 개수보다 중요한 사실은 최신 업데이트만으로 차단되지 않는 로컬 권한 상승 경로가 드러났다는 점이다.
LegacyHive가 악용하는 구조
Chaotic Eclipse라는 이름으로 활동하는 Nightmare-Eclipse가 공개한 LegacyHive는 Windows 사용자 프로필 서비스인 ProfSvc의 임의 하이브 로드 동작을 악용한다.1 ProfSvc는 사용자 계정과 환경을 관리하며, 신규 사용자가 로그인할 때 사용자별 레지스트리 하이브를 NT AUTHORITYSYSTEM 권한으로 불러온다.
레지스트리 하이브는 Windows와 애플리케이션의 설정을 저장하는 파일이다. LegacyHive는 이 로딩 과정의 권한 검증 문제를 이용해 비관리자 사용자가 다른 사용자, 나아가 관리자 계정의 클래스 하이브인 UsrClass.dat를 수정할 수 있음을 보여준다.2
공개된 PoC는 다른 일반 계정의 인증정보와 대상 계정명을 요구하도록 제한돼 있다. 연구자는 악용 위험을 낮추기 위한 조치이며, 원래 방식은 추가 인증정보 없이 다른 하이브를 다룰 수 있었다고 설명했다.2
SYSTEM으로 로드된다고 즉시 SYSTEM이 되는 것은 아니다
LegacyHive를 실행하는 것만으로 공격자가 곧바로 SYSTEM 권한이나 비밀번호 해시를 얻는 것은 아니다. 핵심 위험은 관리자 계정의 파일 연결, COM 구성, 셸 설정 등에 영향을 줄 수 있는 레지스트리 영역을 비관리자가 변경할 수 있다는 데 있다.3
따라서 이 취약점은 인터넷에서 시스템에 처음 침입하는 수단이라기보다, 이미 일반 사용자 권한을 확보한 공격자가 권한 상승이나 지속성 확보를 시도할 때 활용할 수 있는 기반에 가깝다. 여러 로컬 계정이 공존하는 공유 PC와 원격 데스크톱 서버에서는 특히 주의가 필요하다.
공식 수정 전 확인할 방어 지점
공개 보도 시점에 Microsoft는 취약점 보고를 인지하고 조사 중이라고 밝혔지만, 공식 패치와 CVE는 나오지 않았다.4 따라서 대응의 초점은 단순한 업데이트 확인이 아니라 계정 통제와 비정상 행위 탐지에 맞춰야 한다.
우선 불필요한 로컬 계정을 제거하고, 일반 사용자가 임의의 로컬 계정을 생성하지 못하도록 제한해야 한다. 또한 다음 행위를 우선 점검할 필요가 있다.
NTUSER.DAT와UsrClass.dat에 대한 계정 간 비정상 접근사용자 하이브 파일이 예상하지 못한 위치로 복사되는 행위
ProfSvc가 평소와 다른 경로나 계정의 하이브를 로드하는 행위
허용되지 않은 도구나 스크립트를 통한 레지스트리 조작
독립 보안 연구원 Kevin Beaumont가 공개한 HiveLegacy 탐지 스크립트도 점검에 활용할 수 있다. 애플리케이션 허용 목록과 함께 적용하면 공개 PoC나 유사 도구의 실행 가능성을 줄이는 데 도움이 된다.5
LegacyHive가 보여주는 교훈은 분명하다. 패치는 필수적인 방어선이지만, 아직 수정본이 없는 제로데이까지 해결하지는 못한다. 공식 패치가 제공될 때까지는 로컬 계정을 최소화하고 ProfSvc의 하이브 로드 행위를 감시하는 것이 현실적인 대응이다.
1Researcher Drops New Windows Zero-Day PoC Hours After Microsoft Patch Tuesday
2GitHub - MSNightmare/LegacyHive
3New LegacyHive Windows Zero-Day Could Give Attackers Admin Access
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.