[해외보안뉴스] MS 서명 드라이버 악용해 보안 프로그램 무력화하는 가짜 LastPass 인증 앱 주의
· 2026-09-21 19:00
· 조회 23
· 원문 ↗
GitHub을 통해 LastPass Authenticator로 위장한 가짜 설치 프로그램이 유포되고 있어 사용자들의 주의가 요구됩니다. LastPass와 Delphos Labs의 연구진에 따르면, 공격자는 이 가짜 설치 프로그램을 통해 사용자 시스템에 악성 윈도우 커널 드라이버를 설치한 뒤, 백신과 보안 프로그램을 무력화하고 패스워드 탈취 프로그램(InfoStealer)을 실행하는 방식을 사용하고 있습니다.
특히 이번 공격에 사용된 커널 드라이버는 마이크로소프트의 공식 하드웨어 호환성 프로그램(WHQL)을 통해 정식으로 디지털 서명된 상태였습니다. 이로 인해 보안 연구진이 해당 위협을 분석할 당시 바이러스토탈(VirusTotal)에서 탐지 건수 0을 기록할 정도로 정교하게 백신(AV) 및 EDR(엔드포인트 탐지 및 대응) 솔루션의 감시를 우회하고 기능을 강제 종료시킨 것으로 나타났습니다.
이처럼 정식 디지털 서명을 악용한 드라이버 공격은 기존 보안 시스템을 쉽게 우회하므로 출처가 불분명한 소프트웨어의 다운로드를 철저히 차단해야 합니다. 사용자들은 반드시 공식 웹사이트나 검증된 스토어를 통해서만 인증 앱을 다운로드해야 하며, 기업 보안 관리자는 커널 드라이버 로딩 모니터링을 강화하고 드라이버 차단 목록(Blocklist)을 최신 상태로 유지해야 합니다.
♥ 추천 0
MS 정식 서명 드라이버를 악용해 커널 권한(Ring 0)에서 EDR을 무력화하는 치명적인 공격 방식입니다. 이제는 단순히 '정상 서명된 바이너리'라는 조건만으로 프로세스를 신뢰하는 기존 검증 로직의 한계가 명확히 드러났습니다. 시스템 아키텍처 설계 시 HVCI(가상화 기반 코드 무결성) 적용과 최신 취약 드라이버 차단 목록(Blocklist) 동기화를 필수 보안 Baseline으로 강제해야 합니다.
MS의 정식 서명을 받은 커널 드라이버를 악용해 EDR을 무력화(EDR Killer)하는 방식은, 커널 권한을 획득해 보안 체계를 완전히 섀도우화하는 매우 치명적인 공격 벡터입니다. 깃허브를 통한 사회공학적 유포와 EDR 블라인딩 기법이 결합되어 초기 VirusTotal 탐지율 0건을 기록할 정도로 뛰어난 은밀성을 보여주었습니다. 정당한 코드 서명 메커니즘을 역이용하는 이러한 패턴은 레드팀 수행 시 보안 솔루션을 완벽히 회피하고 후속 악성 행위를 이어가기 위한 핵심 공격 수단으로 주목할 필요가 있습니다.
마이크로소프트의 정식 서명 드라이버마저 보안 솔루션(EDR) 무력화에 악용된 이번 사례는 코드 서명에 대한 무조건적인 신뢰가 심각한 보안 허점이 될 수 있음을 보여줍니다.
조직 인프라를 보호하기 위해 공식 채널 외 앱 다운로드를 엄격히 통제하고, 최신 '취약 드라이버 차단 목록(Vulnerable Driver Blocklist)'을 보안 정책에 즉각 반영해야 합니다.
신뢰된 서명 파일이라 할지라도 커널 권한 오남용을 상시 모니터링하고 차단할 수 있도록 제로 트러스트 관점의 애플리케이션 제어 거버넌스를 더욱 강화하겠습니다.