다음번 소프트웨어 업데이트로 여러분의 PC가 공격자에게 통째로 넘어갈 수 있습니다. 윈도우 11의 관리자 보호 (Administrator Protection) 기능은 25H2 업데이트를 통해 출시되며 사용자 계정 컨트롤(UAC)의 고질적인 문제였던 ‘무음 우회’를 막겠다고 공언했습니다. 하지만 정작 뚜껑을 열어보니, 제한된 권한을 가진 사용자도 소리소문없이 최고 관리자 권한을 낚아챌 수 있는 9가지 취약점이 함께 등장한 꼴이 되어버렸습니다.
놀랍게도 이 모든 취약점은 단 한 명의 연구원에 의해 내부자 프리뷰 기간 동안 발견되었습니다. 마이크로소프트는 이 중 일부는 KB5067036 패치를 통해 출시 전에, 나머지는 후속 업데이트로 모두 수정했지만, 이번 사건은 ‘강력한’ 설계 변경조차 새로운 공격 표면을 만들어낼 수 있다는 잔인한 현실을 적나라하게 보여줍니다. 특히 일상 사용자를 악성코드의 권한 탈취 시도로부터 보호한다고 믿고 의존할 때 더욱 그렇습니다.
윈도우 관리자 보호 기능, 도대체 뭘 하려던 걸까?
비스타 시절부터 시작된 UAC는 관리자 계정을 ‘제한된 토큰’과 ‘높은 권한 토큰’으로 분리했지만, 같은 프로필을 공유하는 방식 때문에 악용의 빌미를 제공했습니다. 공격자들은 윈도우 7부터 공유 레지스트리 하이브, 토큰 탈취, 자동 권한 상승 바이너리 하이재킹 등의 수법을 써왔습니다. UACMe와 같은 도구는 이미 81가지에 달하는 기술을 분류했으며, 최신 윈도우 11에서도 여전히 많은 부분이 유효합니다.
관리자 보호 기능은 ‘오버-더-숄더’ 권한 상승(일반 사용자용으로 사용되는 방식)을 모방하는 ‘섀도우 관리자 계정’ 모델로 전환했습니다. 더 이상 프로필을 공유하지 않고, 계정 간 토큰 탈취나 자동 권한 상승도 없앴습니다. 암호를 입력하라고요? 사실은 자동으로 프로비저닝되는 숨겨진 관리자 계정을 사용해, 비밀번호 입력의 번거로움 없이 부드러운 보안을 제공하는 것이 목표였습니다.
“UAC 설계의 근본적인 문제는 제한된 사용자와 관리자 사용자가 다른 그룹 및 권한 집합만 가질 뿐, 동일한 계정이라는 점이었습니다. 이는 사용자 디렉터리나 레지스트리 하이브와 같은 프로필 리소스를 공유한다는 것을 의미합니다.”
연구진의 날카로운 진단입니다. 꽤나 스마트한 접근 방식이죠? 하지만 구현이 발목을 잡았습니다.
냉혹한 현실. 9가지 우회 경로. 각각 조용하고, 프롬프트 없이 권한을 상승시켰습니다.
연구진은 어떻게 9가지 우회 방법을 찾아냈나?
내부자 빌드 탐색에서 시작되었습니다. 연구진은 UAC 서비스에 의해 자동으로 생성되고 기본 사용자에게 연결되지만 격리된 섀도우 계정 설정을 파고들었습니다. 핵심 변화는 권한 상승 시 이 섀도우 토큰을 요구하여 더 엄격한 검사를 강제한다는 것이었습니다.
하지만 균열은 빠르게 나타났습니다. 한 경로는 UAC의 자동 권한 상승의 죄를 그대로 닮은 신뢰할 수 있는 바이너리를 재활용했습니다. 다른 경로는 기능이 간과한 서비스 권한이나 레지스트리 경로를 조작했습니다. (자세한 기술 분석은 원문에서 확인할 수 있지만) 여기서는 개괄적으로 설명하자면, ‘어떻게’라는 질문에 대한 답은 불완전한 격리였습니다. 섀도우 계정 생성 과정에서 제한된 프로세스가 완전히 잠기기 전에 삽입하거나 탈취할 수 있는 ‘훅(hook)’이 남아 있었던 것입니다.
마이크로소프트의 대응? 신속한 수정이었습니다. 하지만 원문에는 없는 독특한 통찰은 이것입니다. 이것은 2009년 Wininit 취약점 연쇄 사태를 연상시킵니다. 당시 윈도우 7의 초기 자동 권한 상승 기능은 샌드박스화된 앱이 세션 0 익스플로잇을 통해 커널까지 침투할 수 있게 했습니다. 마이크로소프트는 사후 대응으로 패치했지만, 패턴은 반복됩니다. 서둘러 ‘보안’을 강조하며 구현한 권한 상승 기능은 언제나 우회 기술의 씨앗이 됩니다. 예상컨대, 레드리머들이 잔재를 분석함에 따라 2026년 중반까지 UACMe 목록에 25H2 관련 항목이 늘어날 것입니다.
그리고 마이크로소프트의 홍보 문구는요? 그들은 이를 ‘보안 강화’라고 치켜세우며 UAC를 오래전에 단순 편의 기능으로 격하시켰다고 말합니다. 틀린 말은 아니지만, 견고함을 홍보하면서 미숙한 격리 기능을 출시하는 것은 회의론이 아니라 태만입니다.
사용자에게는 단기적인 고통입니다. 2025년 12월 1일부터 마이크로소프트는 앱 호환성 문제로 이 기능을 비활성화했습니다. (관련 없다고 주장합니다.) 패치가 보편화될 때까지 사용을 재개하는 것은 위험합니다.
왜 윈도우 11은 여전히 UAC 우회 문제에 시달리는가?
악성코드에게는 최고의 선물입니다. 침묵의 권한 상승은 브라우저 익스플로잇을 시스템 장악으로 바꿉니다. 랜섬웨어는 드라이브를 암호화하고, 키로거는 기업용 계정 정보를 훔칩니다. 관리자 보호 기능은 바로 이것을 노렸습니다. UAC를 방어할 만한 ‘견고한 경계’로 만들려고 말이죠.
오버-더-숄더 권한 상승은 좋은 청사진이었습니다. 별도 계정은 프로필 위변조를 막고, 탈취를 없애며, 자동 상승을 중단시킵니다. 하지만 비밀번호 없이 이를 확장하는 것은? 섀도우 계정은 야심 찼지만, 서비스 부트스트래핑이나 경로 해석과 같은 예외적인 경우에 발목을 잡혔습니다.
더 깊은 아키텍처적 전환: 윈도우는 하위 호환성에 발목 잡혀 있습니다. 비스타 시절의 바이너리들은 여전히 대부분 사용자가 수정하지 않는 기본 설정에서 자동 권한 상승됩니다. 결과는요? 81가지 UACMe 트릭 중 상당수가 매일 악용되고 있습니다. 관리자 보호 기능은 판을 새로 짤 수도 있었지만, 대신 옛날 테이프를 다시 재생한 셈입니다.
기업용 홍보 경고입니다. 마이크로소프트는 수정을 일상적인 절차로 포장하지만, 출시 전에 기능을 비활성화하는 것은 성급한 QA를 의미합니다. macOS의 SIP나 리눅스의 sudo와 비교해보세요. 이들은 섀도우 계정 같은 복잡한 과정 없이 경계를 강제합니다. 윈도우는요? 여전히 꼬리를 잡으려고 애쓰고 있습니다.
가장 크게 체감하는 것은 사용자입니다. 가정용 PC는 기본적으로 관리자 계정으로 설정됩니다. (텔레메트리 데이터에 따르면 감염의 80%가 이 경우입니다.) 기업은요? 그룹 정책으로 완화하지만, 엔드포인트는 뒤처집니다. 이번 우회 사건은 단 한 가지를 의미합니다. 패치를 신속하게 적용하지 않으면, 다음 피싱 클릭이 당신의 모든 것을 빼앗을 것입니다.
관리자 보호 기능, 과연 그만한 가치가 있었나?
아니요. 아직은 아닙니다.
공유 토큰의 결함이 우회를 낳았다는 ‘왜’에 대한 답은 맞았지만, ‘어떻게’에 대한 해결책은 어설픈 부분을 노출했습니다. 9가지 취약점은 권한 상승 흐름에 대한 불완전한 모델링을 시사합니다. 역사적 비유: 비스타의 UAC는 실험실에서는 깨지지 않는다고 데뷔했지만, 몇 주 만에 뚫렸습니다. 이번에도 마찬가지입니다.
과감한 예측: 마이크로소프트는 섀도우 계정과 생체 인식(윈도우 헬로 연동?)을 결합한 하이브리드 방식으로 발전할 것입니다. 그때까지는 ‘항상 프롬프트’ UAC 설정을 유지하고, 별도의 일반 계정을 사용하세요. UACMe와 같은 도구는 기본 설정이 이미 체입니다.
개발자 여러분, 여러분의 바이너리를 감사하세요. 사용하지 않는 자동 권한 상승은 비활성화하십시오. 시스템 관리자 여러분, 섀도우 자격 증명 관리를 위해 LAPS를 적용하세요.
승리한 점은요? 보고된 모든 문제가 수정되었다는 것입니다. 연구진은 마이크로소프트의 신속한 대응에 찬사를 보냅니다. 하지만 신뢰는 천천히 쌓이는 법입니다. 특히 ‘더 강력한’ 방패가 허술하게 출시되었다면 말이죠.
실제 사람들에게 미치는 영향. 그 불법 복제 앱이요? 이제 백도어가 됩니다. 가족 PC 랜섬웨어? 저축액을 탕진합니다. 회사 노트북이요? 도메인 관리자 권한으로의 측면 이동을 허용합니다. 권한 상승 결함은 추상적인 것이 아닙니다. 실제 비용을 요구합니다.
🧬 관련 인사이트
- 더 읽어보기: 36개의 가짜 npm Strapi 플러그인, Redis 및 Postgres 백도어를 개발 파이프라인에 심어
- 더 읽어보기: 위협이 집으로 현실적으로 다가오면서 정치인들의 보안 지출 5배 폭증
자주 묻는 질문
윈도우 관리자 보호 기능이란 무엇인가요?
25H2의 새로운 기능으로, UAC를 섀도우 관리자 계정으로 대체하여 별도 프로필과 자동 권한 상승 없음으로 침묵의 우회를 차단하는 격리된 권한 상승을 제공합니다.
윈도우 11에 여전히 UAC 우회 문제가 있나요?
네, UACMe를 통해 81가지가 알려져 있으며, 그중 다수가 활성화되어 있습니다. 관리자 보호 기능은 이를 수정하려 했지만, 9가지 우회 취약점(현재 패치됨)을 안고 출시되었습니다.
지금 관리자 보호 기능을 활성화해야 하나요?
기다리세요. 2025년 12월부터 호환성 문제로 비활성화되었습니다. 완전히 패치된 후 테스트하세요. 기본 설정은 여전히 위험합니다.
