마이크로소프트가 2026년 7월 패치 화요일을 통해 수많은 보안 취약점을 해결했다고 발표한 지 채 며칠이 지나지 않았습니다. 그런데 보안 연구 커뮤니티에서는 이미 이 패치가 적용된 최신 윈도우 시스템에서도 완벽하게 동작하는 새로운 익스플로잇 체인이 공개되어 업계에 충격을 주고 있습니다. ‘레거시하이브(LegacyHive)’로 명명된 이 공격 방식은 전통적인 메모리 손상이나 버그를 활용하는 대신, 윈도우가 사용자 프로필을 초기화하고 레지스트리 하이브를 로드하는 근본적인 구조 자체를 교묘하게 악용합니다.
레거시하이브, 어떻게 윈도우 보안을 무력화하나
레거시하이브의 핵심은 합법적인 윈도우 API를 불법적인 순서로 조합하는 데 있습니다. 보안 기업 레벨블루(LevelBlue)의 OpsIntel CTI 및 위협 운영·연구(THOR) 그룹은 이 공격 체인을 독립적으로 재현하고 기술 분석을 발표했습니다. 공격은 낮은 권한의 사용자 계정이 보조 ‘헬퍼’ 계정의 자격 증명을 확보한 상태에서 시작됩니다. 이후 공격자는 커널 드라이버나 취약점을 건드리지 않고, 일반 데스크톱 애플리케이션이 거의 직접 다루지 않는 저수준 네임스페이스인 윈도우 NT 오브젝트 매니저(Object Manager)를 조작합니다. NtCreateDirectoryObjectEx 및 NtCreateSymbolicLinkObject 같은 네이티브 저수준 함수를 사용해 공격자는 숨겨진 디렉터리 계층과 심볼릭 링크를 구축하고, 이후 실행 흐름에서 중요한 파일 경로 해석을 공격자가 제어하는 네임스페이스로 리디렉션하도록 설계합니다.
다음 단계에서 공격자는 마이크로소프트의 네이티브 레지스트리 오프라인 API를 사용해 오프라인 상태인 헬퍼 계정의 ntuser.dat 레지스트리 하이브를 변조합니다. 이 변조는 Local AppData 환경 경로를 사용자의 실제 프로필 디렉터리가 아닌 공격자가 제어하는 오브젝트 매니저 네임스페이스로 직접 가리키도록 변경합니다. 레벨블루의 위협 분석에 따르면, 이 단계에서 사용되는 모든 개별 API 호출은 합법적이어서 전통적인 엔드포인트 보안 컨트롤을 우회할 수 있습니다. 최종적으로 공격자는 UsrClass.dat에 배치 기회적 잠금(oplock)을 배치해 윈도우가 인증 중 정확한 순간에 변조된 구성을 읽도록 강제합니다. CreateProcessWithLogonW 함수를 LOGON_WITH_PROFILE 플래그와 함께 호출해 윈도우가 변조된 하이브를 로드하고 리디렉션된 경로를 활성화하도록 만듭니다.
왜 중요한가: 패치 이후에도 살아있는 구조적 위협
이번 레거시하이브 사례가 특히 우려되는 이유는 기존 보안 패러다임의 한계를 정면으로 드러내기 때문입니다. 일반적인 취약점은 소프트웨어 버그를 패치하면 해결되지만, 레거시하이브는 합법적인 기능을 악의적인 순서로 조합하는 ‘로직 체인’ 공격입니다. 마이크로소프트가 2026년 7월 패치를 아무리 철저히 적용해도, 이 공격이 사용하는 API들은 모두 정상적인 시스템 운영에 필요한 기능이기 때문에 단순히 ‘패치’로 막을 수 없습니다. 이는 사이버 보안 업계가 버그 수정을 넘어 시스템 설계 자체의 근본적인 보안 가정을 재검토해야 한다는 신호로 읽힙니다.
우리의 해석으로는, 이번 발견은 ‘서명 기반 탐지’ 모델의 한계를 넘어 ‘행동 기반 탐지’의 중요성을 극명하게 보여줍니다. 레거시하이브는 개별 API 호출 자체는 모두 합법적이기 때문에 기존 안티바이러스나 EDR 솔루션은 이를 악성으로 탐지하기 어렵습니다. 보안 운영 센터(SOC)는 정적 파일 시그니처에 의존하기보다는, 비정상적인 AppData 경로 접근이나 예상치 못한 레지스트리 하이브 읽기/쓰기 같은 행동 텔레메트리를 상관 분석해야 합니다. 특히 Local AppData 레지스트리 키가 BaseNamedObjects 같은 커널 수준 네임스페이스를 참조하는 경우, 또는 ntuser.dat나 UsrClass.dat에 대한 비표준 프로세스의 접근을 면밀히 모니터링해야 합니다.
시장에 미치는 영향: 보안 업계의 지형 변화
이번 뉴스는 사이버 보안 업계, 특히 엔드포인트 보안 및 위협 인텔리전스 분야에 중요한 파급 효과를 줄 것으로 예상됩니다. 전통적인 시그니처 기반 탐지에 의존하는 보안 솔루션은 레거시하이브 같은 공격에 취약할 수 있습니다. 반면, 행동 분석, 이상 징후 탐지, 그리고 API 호출 시퀀스의 비정상적 패턴을 식별할 수 있는 차세대 보안 플랫폼은 더 큰 주목을 받을 가능성이 있습니다. 또한, 레벨블루와 같은 위협 인텔리전스 및 사고 대응 전문 기업의 가치가 재조명될 수 있습니다. 투자자들은 보안 솔루션의 ‘탐지 메커니즘’이 얼마나 진화했는지, 단순히 알려진 악성코드 시그니처를 차단하는 수준을 넘어 행동 기반 분석과 API 체인 분석을 제공하는지에 주목할 필요가 있습니다.
리스크 측면에서는, 마이크로소프트의 윈도우 운영체제가 이번 공격으로 인해 보안에 대한 신뢰도에 타격을 입을 수 있습니다. 특히 기업 고객들이 ‘완전 패치된 시스템’에서도 이런 공격이 가능하다는 사실에 우려를 표할 수 있습니다. 다만, 이 공격이 성공하려면 공격자가 이미 낮은 권한의 계정 자격 증명을 확보해야 하므로, 제로 트러스트 아키텍처와 다중 인증(MFA)의 중요성은 더욱 강조됩니다. 단기적으로는 마이크로소프트의 주가에 부정적 영향이 제한적일 수 있지만, 중장기적으로 윈도우 보안 아키텍처에 대한 근본적인 재설계 압박으로 이어질 가능성도 배제할 수 없습니다.
반대 시나리오로는, 마이크로소프트가 이번 공격 벡터를 차단할 수 있는 업데이트를 빠르게 준비 중일 가능성도 있습니다. 예를 들어, 오브젝트 매니저 네임스페이스에 대한 비관리자 계정의 접근을 제한하거나, 레지스트리 오프라인 API 사용에 추가 권한 검사를 도입하는 식의 완화 조치가 가능합니다. 또한, 보안 업계 전반이 이번 사례를 계기로 API 체인 공격에 대한 공동 대응 체계를 마련할 수도 있습니다. 다음에 확인해야 할 지표는 마이크로소프트의 공식 대응 발표, 그리고 주요 EDR 벤더들이 레거시하이브를 탐지할 수 있는 업데이트를 얼마나 신속히 제공하는지입니다.
결론적으로, 레거시하이브는 단순한 취약점이 아니라 윈도우 보안의 근본적인 설계 가정을 흔드는 사건입니다. 투자자들은 보안 업계가 이번 기회를 통해 어떻게 진화하는지, 특히 행동 기반 탐지와 위협 인텔리전스 역량을 가진 기업에 주목할 필요가 있습니다. 보안은 더 이상 ‘패치를 잘 적용하는 것’만으로 완성되지 않으며, 시스템의 구조적 약점을 이해하고 이에 대비하는 새로운 패러다임이 필요함을 이번 사례는 명확히 보여주고 있습니다.
해시태그: #레거시하이브 #윈도우보안 #사이버보안 #행동기반탐지 #위협인텔리전스 #엔드포인트보안 #레벨블루 #API체인공격
출처
- LegacyHive Exploitation Chain Bypasses Windows Security Even With July 2026 Patches Installed — Cyber Security News · 언론 보도 · Tue, 28 Jul 2026 08:31:48 +0000
작성: XPLAIN AI 편집팀 · 검수: XPLAIN AI Editorial Desk
이 콘텐츠는 공개된 출처를 기반으로 AI의 도움을 받아 작성되었으며, XPLAIN AI의 편집·검수 기준을 적용했습니다. 사실과 분석 의견을 구분하며, 오류가 확인되면 수정합니다.