2026년 7월 마이크로소프트 패치 화요일 직후, 보안 연구자 Chaotic Eclipse(Nightmare-Eclipse로도 알려진 동일인)가 LegacyHive라는 익스플로잇 코드를 공개했다. 대상은 윈도우 User Profile Service(ProfSvc)의 임의 하이브 로드를 통한 권한 상승 취약점으로, 패치 적용 전후의 짧은 시간 동안 노출 위험이 발생한다.
- PoC 코드명: LegacyHive, 공개 시점은 패치 화요일 공개 후 수 시간 내
- 취약점 위치: ProfSvc(User Profile Service) 임의 하이브 로드를 통한 권한 상승
- 핵심 위험: 패치 적용 여부와 무관하게 익스플로잇 시그니처 기반의 임시 완화책과 노출 자산 점검이 즉시 필요
패치 배포와 익스플로잇 공개가 같은 날 진행될 경우, 국내 보안팀은 패치 자체보다 모니터링과 자산 가시성 확보가 더 빨라야 한다.
사건 개요 – LegacyHive PoC의 등장
Chaotic Eclipse 연구자의 공개 경위
보안 연구자 Chaotic Eclipse는 Nightmare-Eclipse라는 동일 별칭으로도 활동하며, 2026년 7월 마이크로소프트의 정기 보안 업데이트가 공개된 지 수 시간 만에 LegacyHive PoC를 외부 저장소와 보안 메일링 리스트에 동시에 배포했다. 원문 기사 기준 공개 시점은 2026년 7월 15일 오전 11시 7분 7초(UTC)로, 같은 날 배포된 누적 업데이트와 사실상 시간차를 두지 않았다. 익스플로잇의 표적은 User Profile Service(ProfSvc) 내부의 권한 상승 경로이며, 임의 레지스트리 하이브를 서비스 컨텍스트로 로드하는 방식으로 동작한다.
Microsoft Patch Tuesday와의 시간차 분석
월례 패치 화요일은 한국 시간으로 보통 수요일 새벽에 자동 배포되지만, 글로벌 가시성을 고려하면 본문 분석 대상 사건의 시간 창은 매우 좁다. 패치 다운로드와 재부팅 완료까지 걸리는 시간을 감안하면, 익스플로잇이 공개된 직후 수 시간 동안은 패치 미적용 시스템과 패치 적용 시스템 모두가 잠재적 표적이 된다. 익스플로잇 코드가 GitHub과 미러 사이트에 즉시 복제되는 특성을 고려하면, 익명 내부 사용자가 사내망에서 PoC를 실행하는 내부 위협 시나리오까지 포함해 검토해야 한다.
취약점 기술 분석 – ProfSvc 권한 상승 취약점
User Profile Service의 역할과 공격 표면
User Profile Service(ProfSvc)는 사용자 계정 로그온 시 레지스트리 하이브, 시작 프로그램, 환경 변수, AppData 경로 등 프로파일 자원을 마운트하는 핵심 서비스다. SYSTEM 권한으로 동작하기 때문에 이 서비스를 통한 권한 상승은 일반 사용자에서 SYSTEM으로의 직진 경로가 된다. LegacyHive PoC는 이 서비스가 레지스트리 하이브 경로를 신뢰 경계 안에서만 로드해야 한다는 불변식을 우회해, 공격자가 준비한 하이브 파일을 마운트시키는 방식으로 동작한다. 즉, 패치가 되기 전 ProfSvc는 사실상 운영체제 내부 신뢰 경계의 약한 고리 중 하나였던 것으로 분석된다.
임의 하이브 로드의 동작 메커니즘
익스플로잇은 크게 3단계로 정리된다. 첫째, 공격자는 HKLM 또는 HKCU 하위의 하이브 경로 해석 로직을 우회해 자신이 통제하는 NTUSER.DAT 변형 파일을 로드시킨다. 둘째, 해당 하이브에 권한 상승에 유리한 ACE(Access Control Entry)와 Run 키를 미리 세팅한다. 셋째, ProfSvc가 SYSTEM 컨텍스트에서 하이브를 마운트하는 순간, 공격자가 등록한 경로의 악성 모듈이 높은 권한으로 실행된다. 이 과정에서 정상 이벤트 로그에는 프로파일 로드 행위로 위장되므로, 단순한 Windows Event Log 조회만으로는 탐지가 어렵다.
위험 시나리오 및 영향 평가
권한 상승 후 가능한 공격 체인
ProfSvc 권한 상승은 단독으로 완결되는 위협이 아니라 이후 단계의 발판이다. SYSTEM 권한을 확보한 공격자는 LSASS 프로세스 덤프, LSA 비밀값(LSA secrets) 추출, SAM 데이터베이스 복사, 토큰 위조를 통한 횡적 이동 등 후속 공격으로 확장할 가능성이 있다. 또한 User Profile 관련 작업이 일반 사용자 로그온 시점에 매번 수행되므로, 감염 후 재부팅이나 사용자 전환만으로도 자동으로 권한이 복원되는 특성이 있다. 이는 랜섬웨어 그룹이 침투 초기 정찰 단계에서 활용 가능한 조건에 해당한다.
패치 미적용 시스템의 노출 위험
아래 표는 익스플로잇 공개 시점 기준으로 시스템 상태별 노출 정도를 정리한 것이다. 저자 견해임을 미리 밝힙니다.
| 시스템 상태 | 익스플로잇 차단 가능성 | 주요 위험 |
|---|---|---|
| 패치 즉시 적용 완료 | 높음(단, 서비스 재시작 필요) | 재부팅 미실행 시 취약 상태 잔존 |
| 패치 다운로드만 완료 | 중간 | 재부팅 전 PoC 실행 시 여전히 취약 |
| WSUS 지연/오프라인 자산 | 낮음 | LegacyHive 직접 영향권 |
| 인터넷 분리 망 단말 | 외부 PoC 유입은 제한적이나 내부 반입 위험 존재 | USB/내부자 반입 시 즉시 노출 |
공급망 관점에서 OEM 이미지, 가상 데스크톱, 재해복구 이미지에도 패치 적용 시점이 일관되게 반영되지 않을 가능성이 있다. 가상 데스크톱 인프라(VDI) 환경은 동일 마스터 이미지로 다수의 사용자가 로그온하므로, 한 번의 익스플로잇 시도가 다수의 SYSTEM 세션으로 확산될 수 있어 특히 주의가 필요하다.
국내 기업을 위한 권고 조치
우선 패치 적용 및 자산 식별 절차
가장 먼저 해야 할 일은 패치 적용 여부를 단일 엔드포인트 단위가 아니라 도메인 단위로 가시화하는 것이다. WSUS, Intune, 클라우드 패치 관리 콘솔의 배포 성공률만으로는 부족하며, 실제로 재부팅이 완료되어 ProfSvc가 패치된 바이너리로 로드되었는지 호스트별로 확인해야 한다. 재부팅이 지연되는 자산 목록은 익스플로잇 우선 점검 대상이며, KPI 측면에서는 패치 준수율을 단순 백분율이 아닌 시간(median time to patch) 기준으로 보고하는 편이 의사결정에 더 유용하다.
임시 완화: EDR 시그니처 및 계정 모니터링 강화
패치 적용이 즉각 어려운 환경에서는 다음의 3단계 임시 완화 절차가 효과적인 것으로 분석된다. 먼저 EDR/안티바이러스 제품의 LegacyHive 관련 IoC와 시그니처를 수동으로 강제 배포하고, ProfSvc 자식 프로세스 비정상 행위 기반의 행동 탐지 룰을 추가한다. 다음으로 User Profile Service가 SYSTEM 컨텍스트에서 임의 경로의 레지스트리 하이브를 로드하는 행위를 Sysmon Event ID 1, 12, 13을 교차 조회해 탐지한다. 마지막으로 표준 사용자 계정의 로컬 Administrators 그룹 포함 여부와 토큰 권한(SeDebugPrivilege 등)을 점검해, 권한 상승 이후 단계의 확산을 차단한다. 국내 다수 SI 솔루션이 상관분석 룰 형태로 유사 패턴을 지원하므로, 보안관제(SoC)팀은 사용자 프로파일 변경 이벤트와 프로세스 생성 이벤트의 결합을 상시 추적해야 한다.
공급망 보안 관점의 시사점
익스플로잇 공개와 책임 있는 공개 정책의 균형
LegacyHive 사례는 책임 있는 공개(Responsible Disclosure) 정책이 운영체제 공급업체의 패치 사이클과 정확히 일치하지 않을 때 발생하는 구조적 문제를 다시 보여준다. 연구자 입장에서 패치와 동시에 익스플로잇을 공개하는 행위는 공급업체의 무응답에 대한 압박 수단으로 기능하지만, 한편으로는 패치 화요일 당일 글로벌 기업 모두가 같은 위협에 노출되는 결과를 낳는다. 국내 기업의 보안 조직은 익스플로잇의 공개 일정이 점점 빨라질 것임을前提로, 패치 적용이 곧 완결이 아니라 익스플로잇 가시화 시점이라는 인식으로 대응 체계를 재설계할 필요가 있다. 이는 The Hacker News의 1차 보도와 CISA의 SharePoint 관련 경고에 이르는 최근 흐름과도 같은 방향으로 해석된다.
실무 체크리스트 (저자 견해)
- 패치 적용 후 72시간 이내 모든 윈도우 엔드포인트의 ProfSvc 바이너리 버전 및 마지막 재부팅 시각을 자산 관리 시스템에서 일괄 확인
- EDR 정책에 LegacyHive 관련 IoC(레지스트리 하이브 경로, 자식 프로세스 행위, 이상 토큰) 적용 및 적용 실패 호스트 재배치
- 표준 사용자 계정의 로컬 관리자 그룹 포함 여부, 불필요한 Se*Privilege 보유 여부를 주 단위로 점검
- VDI/마스터 이미지의 패치 일자 일관성 확인 및 마스터 이미지 재배포 일정 수립
- 인터넷 분리 망 단말 대상 LegacyHive PoC 내부 반입 가능성에 대한 사용자 교육 및 USB/외장매체 통제 정책 재점검
핵심 포인트 정리
- LegacyHive PoC는 패치 화요일 직후 공개되어 패치 적용/미적용 모두가 잠시 노출되는 시간 창을 만든다.
- 취약점 본질은 ProfSvc의 임의 하이브 로드를 통한 권한 상승이며, SYSTEM 컨텍스트로의 직진 경로를 제공한다.
- 실무 대응은 패치 적용 자체보다 모니터링 시그니처, 노출 자산 가시성, 표준 계정 권한 정리의 3축으로 즉시 구성해야 한다.
- 익스플로잇 공개와 패치 사이클이 겹치는 사례가 늘고 있어, 익스플로잇 가시화 시점 중심의 대응 체계가 요구된다.