2026년 8월 11일, 마이크로소프트는 정기 보안 패치와 함께 을 공개했다. 윈도우의 네트워크 통신 드라이버인 AFD.sys(Ancillary Function Driver for WinSock)에서 발견된 use-after-free 취약점이다. 같은 날 CISA는 이 취약점을 이미 실제 공격에 쓰이고 있는 것으로 확인해 KEV(Known Exploited Vulnerabilities) 카탈로그에 올렸고, 연방기관에 8월 25일까지 패치를 마치라고 지시했다.
왜 위험한가
은 권한 상승 취약점이다. 이미 시스템에 발판을 마련한 공격자가 일반 사용자 권한에서 SYSTEM 권한으로 올라서는 데 쓰인다. 즉 이 취약점 하나만으로 시스템에 처음 침투할 수는 없다 — 다른 방법으로 먼저 접근권을 얻은 뒤에야 의미가 있다. CVSS 점수가 7.0으로 "치명적(Critical)"이 아니라 "높음(High)"에 그치는 것도 이런 특성 때문이다.
하지만 실제 공격에서는 이 조합이 위험하다. AFD.sys는 윈도우 네트워크 스택의 핵심 드라이버라 거의 모든 윈도우 시스템에 존재하고, 커널 레벨에서 동작해 성공하면 공격자가 사실상 시스템을 완전히 장악한다. CISA가 공개와 동시에 KEV에 올릴 만큼 위험도를 높게 본 이유다.
메커니즘 — CWE-416, Use After Free란
이 취약점의 근본 원인은 CWE-416(Use After Free)이다. 프로그램이 메모리를 해제한 뒤에도 그 메모리를 가리키던 포인터를 계속 참조하는 결함이다. 해제된 메모리 영역은 다른 용도로 재할당될 수 있는데, 이때 낡은 포인터로 그 영역에 접근하면 공격자가 미리 심어둔 데이터를 프로그램이 정상 데이터처럼 처리하게 만들 수 있다.
AFD.sys의 경우, 인증된 로컬 공격자가 경쟁 조건(race condition)을 유도해 이 use-after-free를 발생시키는 것으로 알려져 있다. 특수하게 조작한 애플리케이션으로 타이밍을 맞춰 커널 메모리를 조작하고, 그 결과로 SYSTEM 권한을 얻는 방식이다. Use-after-free 계열 취약점은 재현이 까다롭고 익스플로잇 개발 난이도가 높은 편이라, CVSS의 공격 복잡도(AC) 항목이 "High"로 매겨진 것도 이 때문으로 풀이된다.
누가, 어떻게 악용했나
체크포인트 리서치는 이 취약점을 북한 연계 해킹 조직 라자루스(Lazarus)의 "Operation Dream Job" 캠페인과 연결했다. 이 귀속은 CISA나 마이크로소프트의 공식 발표가 아니라 체크포인트의 자체 분석 결과다 — 실제로 The Hacker News 등 후속 보도도 CISA·MS가 북한을 공식 지목한 적은 없다는 점을 별도로 확인했다.
체크포인트에 따르면 공격자는 채용 담당자를 사칭해 LinkedIn이나 메신저로 표적에 접근한 뒤, 채용 관련 문서로 위장한 악성 파일을 전달했다. 이 파일을 열면 이 실행되어 SYSTEM 권한을 획득하고, 이후 FudModule 루트킷과 Troy 백도어를 심는다. 방산·항공우주 업계 종사자는 이런 접근에 특히 취약하다. 이직·구직이 개인적이고 은밀하게 진행되는 경우가 많아, 회사 보안팀을 거치지 않고 개인 메신저로 파일을 주고받기 쉽기 때문이다.
체크포인트는 이 캠페인이 프랑스·독일·인도·브라질의 방산·항공우주 기업을 표적으로 삼았다고 밝혔다. 군사 감시 센서, 드론, 로보틱스 관련 기술을 다루는 기업이 우선 타깃이었다. 한국 기업이 표적에 포함됐다는 보도는 확인되지 않았다.
악용 전개
체크포인트는 2026년 6월 초부터 실사용을 확인했다고 밝혔지만, 다른 매체는 패치 시점 기준 "5주 전부터"(7월 초)라고 보도해 정확한 최초 악용 시점은 출처마다 다소 엇갈린다. 분명한 건 패치가 나오기 최소 한 달 이상 전부터 이미 실제 공격에 쓰이고 있었다는 점이다 — 제로데이로 악용되다 뒤늦게 발견·패치된 사례다.
탐지 관점
이 취약점 자체를 직접 탐지하는 것은 어렵다. 커널 메모리 조작은 로그를 남기지 않는 경우가 많고, 익스플로잇 성공 여부는 이후 행위로 역추적해야 하는 경우가 대부분이다. 대신 공격 체인의 다른 단계에서 흔적을 잡을 수 있다.
기법 ID
기법명
이 캠페인에서의 활용
T1566
Phishing
가짜 채용 담당자를 사칭한 초기 접근
T1068
Exploitation for Privilege Escalation
으로 SYSTEM 권한 획득
T1014
Rootkit
FudModule 루트킷 설치로 탐지 회피
대표적인 탐지 신호는 세 가지다. 일반 사용자 계정 프로세스가 갑자기 SYSTEM 권한으로 동작하는 정황, 정상적이지 않은 시점의 커널 드라이버 크래시·재시작 로그, 그리고 알려진 루트킷 시그니처와 일치하는 커널 모듈 로드 이벤트다. 이메일·메신저로 온 채용 관련 문서 파일을 열기 전 발신자를 검증하는 것도 이 캠페인 계열에는 실질적인 방어선이 된다.
한국 관점
이번 캠페인의 확인된 표적국(프랑스·독일·인도·브라질)에 한국은 포함되지 않았다. 하지만 라자루스는 한국을 상시 표적으로 삼아온 조직이고, 가짜 채용 공고를 미끼로 쓰는 수법 자체는 국적을 가리지 않는다. 국내 방산·항공우주 업계 종사자라면 출처가 불분명한 채용 제안, 특히 개인 메신저로 전달되는 문서 파일에 각별한 주의가 필요하다.
