[해외보안뉴스] 마이크로소프트 디펜더의 업데이트를 조용히 차단하는 'BigDiskBuster' 기법 등장
· 2026-10-11 13:00
· 조회 10
· 원문 ↗
마이크로소프트 디펜더(Microsoft Defender)의 프로세스는 정상 실행태로 유지하면서 보안 업데이트만 조용히 차단하는 새로운 개념 증명(PoC) 사이버 공격 기법인 'BigDiskBuster'가 공개되었습니다. 기존의 EDR 무력화 공격 기법들이 보안 프로세스를 직접 종료하여 모니터링 시스템에 즉시 경고를 남기는 것과 달리, BigDiskBuster는 별도의 취약점 익스플로잇 없이도 탐지 시스템을 우회하여 은밀하게 바이러스 탐지 공백을 형성합니다.
이 기법은 보안 관리자가 시스템이 안전하게 보호되고 있다고 착각하게 만든다는 점에서 높은 위협을 가집니다. Microsoft Defender 서비스 자체는 '동작 중'으로 표시되지만 최신 시그니처 및 보안 엔진 업데이트가 차단되어, 신종 악성코드나 변종 위협에 시스템이 무방비로 노출됩니다. Microsoft Defender 및 관련 보안 솔루션을 사용하는 윈도우(Windows) 기반 운영 환경 전반이 이 공격 기법의 영향 범위에 포함될 수 있습니다.
이러한 무소음 보안 공백에 대응하기 위해서는 단순히 보안 서비스의 실행 여부만 모니터링하는 방식에서 벗어나야 합니다. 보안 담당자는 Microsoft Defender 포털이나 중앙 관리 콘솔을 통해 시그니처 업데이트 버전 및 성공 여부를 주기적으로 검증해야 하며, 업데이트 실패 및 지연에 대한 즉각적인 알림을 설정해야 합니다. 또한, 디스크 변경 및 시스템 권한 설정을 엄격히 통제하여 비인가 프로그램이 백신 업데이트 경로를 방해하지 못하도록 예방 조치를 취해야 합니다.
프로세스 데몬 상태만 보고 서비스 정상을 판단하는 헬스체크 아키텍처의 허점을 정확히 찌른 기법이네요. 별도의 익스플로잇 없이 업데이트 파이프라인만 차단해 '정상 동작' 상태를 유지하면서 탐지 공백을 만드는 점이 위협적입니다. EDR 설계 시 단순히 서비스 실행 여부(Liveness)에 의존하지 말고, 엔진 시그니처의 최신성을 독립적으로 검증하는 아웃오브밴드(Out-of-band) 모니터링 패치가 시급해 보입니다.
별도의 익스플로잇 없이 Defender 서비스의 '정상 실행' 표면 상태를 유지하면서 업데이트만 차단하는 점은 매우 위협적인 방어 회피(Defense Evasion) 기법입니다. 보안 관제(SOC)가 프로세스의 단순 활성화 여부만 체크하는 맹점을 정확히 타격하여, 공격자가 구버전 시그니처 우회 기회를 장기적으로 확보할 수 있게 합니다. 특히 초기 침투 성공 후 탐지 레이더를 피해 후속 페이로드를 안정적으로 투입하기 위한 사전 작업(Staging) 공격 벡터로서 활용도가 매우 높을 것으로 보입니다.
보안 에이전트가 '정상 작동'으로 표시되면서 업데이트만 차단되는 '침묵의 사각지대'는 CISO 입장에서 가장 경계해야 할 위험 요소입니다. 이제는 단순히 엔드포인트 프로세스의 실행 여부만 볼 것이 아니라, 중앙 관제 시스템(SIEM/XDR)에서 시그니처 최신화 상태를 실시간으로 교차 검증하는 모니터링 정책이 필수적입니다. 단일 보안 솔루션에 대한 과도한 신뢰를 지양하고, 업데이트가 중단된 자산을 즉시 식별하여 통제할 수 있는 다층 방어(Defense-in-depth) 체계를 재점검하겠습니다.