제로데이 문서 공격 방어 —
패치 전에도 유효한 구조적 차단 원리

"제로데이를 패치 전에도 막을 수 있는가." 이 질문은 오래된 것이다. 답도 사실 오래되었다 — 막는 방법은 있다, 단 탐지로는 아니다. 2010년 Stuxnet이 4개의 Windows 제로데이를 동시에 사용해 이란 핵 시설을 타격한 사건^[1]부터 2017년 발견 이후 8년째 현역으로 쓰이는 CVE-2017-11882 Equation Editor^[2], 2022년 Follina(CVE-2022-30190)의 "패치 없는 4주"^[3], 2023년 Storm-0978의 CVE-2023-36884 Word/HTML 원격 실행^[4], 2024년 ScarCruft의 CVE-2024-38178 RokRAT 체인^[5], 2026년 2월 NVD에 등재된 CVE-2025-29867 Hancom 全라인 타입 혼동^[6]까지 — 16년간 문서 제로데이의 흐름은 한 방향을 가리킨다. 시그니처는 언제나 늦는다. Google Mandiant M-Trends 2024는 2023년 한 해에만 97개의 제로데이가 in-the-wild 활용되었다고 집계했고, 이는 전년 대비 50% 이상 증가한 수치다^[7]. 이 글은 공개 1차 자료 — Google Project Zero, Mandiant, CISA KEV, NVD, Kaspersky, Trellix, ESET, NIST — 를 근거로 "탐지 없이 막는 방법이 왜 성립하는지"를 구조적으로 해부한다.

이 질문은 두 개로 쪼개진다. 첫째, "취약점 자체를 사라지게 할 수 있는가" — 답은 명백히 아니다. 취약점은 소프트웨어 버그이고 버그는 코드 수정으로만 사라진다. 둘째, "취약점이 악용되는 것을 막을 수 있는가" — 이 질문의 답이 이 글의 주제다. 악용(exploitation)은 세 단계의 조건이 모두 충족되어야 성립한다. ① 취약한 소프트웨어 ② 취약점을 트리거하는 입력 ③ 입력이 소프트웨어에 도달하는 경로. 전통적 방어는 ①에 집중한다(패치). 탐지 기반 방어는 ②를 식별하려 한다(시그니처). CDR은 다르게 접근한다 — 입력 자체를 정규화하고 실행 가능 유형을 제거하여 ②의 성립 조건 자체를 무너뜨린다.

이 접근이 "탐지 없는 방어"로 성립하는 이유는 단순하다. 어떤 제로데이든, 공격 코드는 결국 문서 내부의 실행 가능한 콘텐츠(매크로·OLE·DDE·스크립트·수식 편집기·EPS·원격 템플릿 · 임베디드 객체)를 경유해 실행된다. 문서 파서 자체의 메모리 손상 취약점(예: 악의적 태그 구조를 통한 힙 오버플로)도 결국 "정규 포맷을 벗어난 구조"에 의존한다. CDR은 파일을 열고 → 실행 가능 콘텐츠를 유형 기준으로 제거 → 원본 포맷으로 재조립한다. 이 과정에서 CVE 번호를 알 필요가 없다. 알려지지 않은 취약점이어도 실행 가능 유형 제거라는 원리가 동일하게 작동한다.

"제로데이(Zero-day)"의 엄밀한 정의는 벤더가 공식 인지·패치하기 전에 악용된 취약점이다. NIST SP 800-115(정보 보안 테스팅 가이드)^[10]와 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그^[11]는 "0-day in-the-wild"를 별도 분류로 관리한다. NVD(National Vulnerability Database) 등재는 CVE 발급 이후 며칠에서 수주가 걸린다. CVE-2025-29867의 경우 Hancom의 내부 인지 시점과 2026.2.4 NVD 공개 시점 사이에 확인된 갭이 존재했다^[6].

제로데이의 경제학 — 수요와 공급

제로데이는 거래 상품이다. Zerodium 공개 지불 표 기준 Microsoft Office RCE 체인은 수십만 달러, Android/iOS 제로-클릭은 수백만 달러 수준이다. CrowdStrike Global Threat Report 2024는 "제로데이 시장이 국가 후원 APT의 핵심 공급망"이라고 평가했다^[12]. 공격자에겐 시간이 자산(공개 전까지의 기간), 방어자에겐 부채(T0~T5 갭)다.

Google Project Zero의 90일 정책

"Project Zero believes that vulnerability disclosure is a tool for defenders. We give vendors a 90-day deadline from the moment we report a vulnerability, with an additional 14-day grace period if a patch is scheduled within that window." — Google Project Zero Disclosure Policy^[8]

Project Zero는 2014년 설립 이래 이 정책을 유지하고 있다. 데드라인 이후엔 패치 여부와 무관하게 공개된다. 방어자는 "최악의 경우 90+14일의 창"을 가정해야 한다. 문서 영역에서 Microsoft GDI+ · Skia · ANGLE 파서 취약점이 대표 사례다.

시그니처 AV가 zero-day에서 실패하는 이유

시그니처 기반 AV는 과거의 악성 샘플에서 추출한 해시·바이트 패턴·YARA 규칙을 비교한다. 제로데이는 정의상 "공개된 샘플이 존재하지 않는 상태"이므로 시그니처 DB에 등록될 수 없다. 변종(variant)의 경우도 난독화·패킹·재컴파일만으로 해시가 바뀌어 시그니처 매칭을 우회한다. AV-TEST와 AV-Comparatives의 2024년 독립 시험에서 주요 AV 제품들의 0-day (unknown) 샘플 탐지율이 제공업체별로 큰 편차를 보였다는 점이 이 구조적 한계를 방증한다.

ML 기반 탐지의 한계

머신러닝 기반 악성코드 분류기는 PE 헤더·API 호출 그래프·문자열·엔트로피 특징을 학습한다. 그러나 학습 데이터 분포 밖(OOD, Out-of-Distribution)에 있는 샘플은 신뢰도가 급격히 하락한다. ESET Threat Report H2 2024는 "LLM 생성 변종이 ML 탐지기의 특징 공간을 체계적으로 교란한다"고 보고했다^[13]. Adversarial ML 연구자들이 지적하듯 — 시그니처가 알려진 특징에 의존하듯, ML도 학습된 특징에 의존한다. "새로운 것"이라는 전제 자체가 다르지 않다.

Living Off The Land의 회색 지대

CVE-2022-30190 Follina가 전형적 사례다. 이 취약점은 악성 PE 파일을 디스크에 남기지 않고 Office → ms-msdt:// URL 핸들러 → PowerShell 체인으로 실행된다^[3]. 모든 단계가 정상 Windows 유틸리티로 구성되어 있어 행위 기반 탐지가 "정상 업무"와 구분하기 어렵다. MITRE ATT&CK T1218 Signed Binary Proxy Execution, T1566.001 Phishing: Spearphishing Attachment 등이 이 기법을 카테고리화한다.

샌드박스는 "실제 실행 후 관찰"이라는 점에서 시그니처보다 강력하다. 하지만 제로데이 악용 도구 개발자들은 샌드박스 회피를 기본 탑재한다. MITRE ATT&CK가 이를 체계화한 기술이 T1497 Virtualization/Sandbox Evasion이다^[14].

T1497의 주요 하위 기법

• T1497.001 System Checks — VM 특유의 하드웨어 ID, MAC OUI, BIOS 문자열, 가상화 CPU 명령어 응답 확인
• T1497.002 User Activity Based Checks — 마우스 이동·클릭·키 입력·최근 문서 수 확인. 샌드박스는 상호작용 없이 실행되는 경우가 많음
• T1497.003 Time Based Evasion — sleep·stall code·delayed execution. 샌드박스의 분석 시간 제한(예: 3~5분)을 넘길 때까지 잠복

문서 제로데이의 샌드박스 회피 실사례

Kaspersky SecureList 2024 제로데이 분석 시리즈는 APT 문서 기반 제로데이가 거의 예외 없이 T1497을 탑재한다고 보고했다^[15]. CVE-2017-11882 계열 페이로드는 "최근 문서 10개 미만이면 종료" 조건을 자주 포함한다(샌드박스는 깨끗한 환경이므로 항상 종료). CVE-2023-36884 Storm-0978 체인은 특정 도메인 조인 환경 확인을 포함한 것으로 Microsoft Threat Intelligence가 분석했다^[4].

공개 자료에서 확인되는 문서 계열 대형 제로데이 10건을 CVE 번호·CVSS·공격자·활용 기간 기준으로 정리했다. 모든 항목은 NVD · CISA KEV · 벤더 공식 공지 · Mandiant / Kaspersky / ESET / Microsoft Threat Intelligence 1차 보고 기반이다.

10건의 공통점: ① 문서 파일의 자동 렌더링 경로에서 트리거 ② 첫 단계가 실행 가능 콘텐츠 유형(매크로·OLE·수식 편집기·외부 템플릿·HTML 렌더) ③ 패치 배포 후에도 장기간 현역(조직 패치 미적용 자산 잔존).

2010년 발견된 Stuxnet은 이란 나탄즈 우라늄 농축 시설의 Siemens PLC를 타격한 사이버-물리 무기다. Symantec의 W32.Stuxnet Dossier^[1]와 Kaspersky의 후속 분석은 이 작전이 4개의 Windows 제로데이를 동시에 사용했음을 확인했다:

• CVE-2010-2568 — LNK 아이콘 파싱 취약점 (USB 자동 실행)
• CVE-2010-2729 — Print Spooler 권한 상승
• CVE-2010-2743 — Windows Kernel Win32k.sys LPE
• CVE-2010-3338 — Task Scheduler LPE

여기에 Realtek·JMicron의 탈취된 합법 코드 서명 인증서 2장까지 결합됐다. 당시 방어 업계의 충격은 단일 공격이 이 정도 자원을 투입했다는 사실이었다. 역설적으로 Stuxnet은 "탐지로는 막을 수 없는 공격 자원의 상한이 있다"는 것을 증명했다. 시그니처 AV는 이 공격을 몇 달간 놓쳤다. 결국 Stuxnet을 처음 공개 분석한 것은 벨라루스의 소규모 연구팀(VirusBlokAda)이었다.

2022년 5월 27일 일본 연구자 nao_sec이 VirusTotal에서 발견한 악성 Word 문서는 Microsoft가 6월 14일 Patch Tuesday에 정식 패치를 배포하기까지 4주 가까이 미패치 상태로 남아있었다^[3]. 이 기간 동안 중국·북한·이란 연계 APT 그룹들이 Follina를 대량 활용한 것이 CERT-EU·CISA·Proofpoint Threat Research(제품 비교 아님, 연구 인용) 등 다수 기관에 의해 확인되었다.

Follina 공격 체인

1. 진입: 악성 Word/RTF 이메일 첨부
2. 트리거: 외부 템플릿 링크 → ms-msdt:// URL 스킴
3. 실행: MSDT가 PowerShell 인코딩 페이로드 실행
4. 은닉: 매크로 없음. Outlook Preview Pane만으로 트리거

Follina의 위험성은 "매크로 불요"였다. Microsoft가 2022년 초 매크로 기본 차단을 도입한 직후의 빈 틈을 정확히 공략했다. CDR 관점에서 외부 템플릿 참조와 URL 핸들러 호출을 실행 가능 유형으로 분류·제거하면 ms-msdt:// 체인 트리거 자체가 발생하지 않는다. CVE 발급 이전에도 동일 원리가 작동했을 것이다.

2017년 11월 Microsoft가 패치한 CVE-2017-11882는 Equation Editor(EQNEDT32.EXE)의 스택 버퍼 오버플로다^[2]. Embedi 연구팀이 리버스엔지니어링으로 발견했는데, 이 모듈은 2000년경 빌드된 이후 업데이트가 거의 없었다(DEP/ASLR도 없었다). 패치 배포 직후 PoC가 공개되었고, 공격자 커뮤니티는 "거의 모든 Office 버전에서 동작하는, 매크로 허용이 필요 없는, 한 번 클릭으로 RCE"라는 3박자 조합 때문에 이 취약점을 애용했다.

8년간의 활용 기록

• 2017~2019 — Cobalt · FIN7 · TA505 금융기관 표적
• 2019~2022 — Kimsuky 한국 통일부·외교부 타깃
• 2021~2024 — SideWinder 남아시아 정부 표적
• 2023~2026 — 다수 APT 초기 침투 (ESET H2 2024)^[13]

8년째 현역인 이유는 패치 적용률이다. Office 레거시 설치본이 상당수 남아있고, Microsoft가 2018년 Equation Editor를 제거했음에도 구버전 잔존 환경이 공격 표면으로 남는다. CDR 관점에서 OLE 임베디드 Equation Editor 객체를 유형 기반으로 제거하면 취약점 존재 여부와 무관하게 실행 경로가 차단된다. 2017년 발견 이전에도 2026년 현재도 동일 원리로 작동한다.

2026년 2월 4일 NVD에 등재된 CVE-2025-29867은 Hancom Office 2018 · 2020 · 2022 · 2024 네 개 제품군 전부에 영향을 주는 타입 혼동(CWE-843) 취약점이다. CVSS 8.5 HIGH^[6]. 이 취약점의 구조적 의미는 "Hancom이 수년간 유지해온 공유 코드베이스 상의 결함이 네 제품군에 동시 상속된 상태"라는 점이다. 단일 패치 배포로는 전 조직 적용까지 시간이 걸리고, EOL 제품군(Hancom 2014·NEO·2010)은 패치 자체가 불가능하다.

안전 버전

• Office 2018 ≥ 10.0.0.12681
• Office 2020 ≥ 11.0.0.8916
• Office 2022 ≥ 12.0.0.4426
• Office 2024 ≥ 13.0.0.3050

"The application fails to properly verify that objects conform to their expected types before accessing them." — SentinelOne CVE-2025-29867 공식 설명^[6]

CDR이 이 유형의 취약점에 구조적으로 유효한 이유는 XML 파싱 → 실행 요소 제거 → 원본 포맷 재조립의 정규화 단계에서 악의적 형태의 태그·객체가 정규 형태로 변환된다는 점이다. 타입 혼동을 유발하는 악의적 객체가 재조립 이후 정규 형태로 존재하면 트리거 조건이 성립하지 않을 확률이 높다. 다만 CDR이 모든 타입 혼동을 100% 차단한다고 단언하긴 어렵고, 한컴 패치와 계층 방어로 결합하는 것이 권장된다.

Mandiant M-Trends 리포트는 매년 전 세계 침해사고 대응(IR) 실전 데이터를 집계해 공개한다. 제로데이 관련 공식 통계를 정리한다^[7]:

Mandiant의 M-Trends 2024는 또한 "exploitation-to-disclosure median 기간이 공격자별로 편차가 크지만 APT41 같은 그룹은 1년 이상 비공개 상태로 제로데이를 유지한다"고 보고했다^[7]. Crowdstrike Global Threat Report 2024는 국가 후원 그룹(China-nexus)의 제로데이 활용 비중이 2022년 대비 2023년에 2배 가까이 증가했다고 평가했다^[12].

Google Project Zero는 2019년부터 "0-day In-the-Wild Tracking Spreadsheet"을 공개 유지하고 있다^[8]. 이 자료에 등재된 2023~2025 문서·브라우저 제로데이 중 문서 계열 주요 사례:

• CVE-2023-36884 (Office/Windows HTML) — Storm-0978/RomCom, 우크라이나 NATO 정상회의 표적^[4]
• CVE-2023-21674 (Windows ALPC LPE) — 문서 RCE 체인과 결합
• CVE-2024-30088 (Windows Kernel) — 문서 exploit의 샌드박스 탈출 단계
• CVE-2024-38178 (Scripting Engine) — ScarCruft RokRAT^[5]
• CVE-2024-43572 (MSC) — 2024.10 Patch Tuesday

Project Zero의 핵심 관찰은 "제로데이의 상당수가 단일 취약점이 아니라 체인(chain)으로 결합되어 사용된다"는 점이다. 문서 파서 취약점(진입) + 권한 상승(LPE) + 샌드박스 탈출의 3~4개 CVE 조합이 최근 APT 공격의 표준이다. 체인이 길수록 어느 한 단계에서의 차단이 전체를 무력화한다. CDR은 체인의 진입 단계를 구조적으로 제거하여 나머지 단계의 실행 가능성 자체를 소멸시킨다.

CDR(Content Disarm & Reconstruction)의 정의는 간명하다 — 파일을 받아서 파싱 → 실행 가능 유형 제거 → 원본 포맷 재조립. 이 3단계가 제로데이 방어에 "CVE 번호 없이 작동"하는 이유를 구조적으로 설명한다.

제거되는 실행 요소 유형 (SLCDR 기준)

1. 매크로 (VBA/VBScript/JavaScript in PDF) — Office/Acrobat 전반
2. OLE 임베디드 객체 — Equation Editor · Package · 외부 실행 파일
3. DDE (Dynamic Data Exchange) — Excel/Word 필드 코드 실행
4. 외부 템플릿·원격 참조 — Follina ms-msdt 계열 트리거
5. EPS/PostScript 코드 — 과거 APT28 CVE-2017-0261 계열
6. Form Submit·JavaScript Action — PDF
7. MSC/LNK/JSE 스크립트 유형 — 2024~2026 Kimsuky 계열
8. HTML/CSS in Office — CVE-2023-36884 계열 Word/HTML

왜 "CVE 번호 없이" 작동하는가

"CDR operates on file types and structural elements, not on known exploit signatures. A macro is removed because it is a macro, not because it matches a known malicious pattern." — 일반 CDR 기술 원리^[17]

이 원리는 앞으로 등장할 제로데이에도 동일하게 작동한다. 2028년에 아직 알려지지 않은 Office 취약점이 매크로·OLE·외부 템플릿·DDE 중 하나를 경유한다면, 그 경유 유형 자체가 제거되므로 트리거가 발생하지 않는다. 파서 자체의 메모리 손상(예: 악의적 XML 태그 구조)의 경우에도 재조립 과정의 정규화가 공격자의 악의적 구조를 표준 구조로 변환하여 트리거 조건을 해체한다.

시큐레터의 SLF·SLE·SLCDR 제품군은 KISA(한국인터넷진흥원) 인증 평가에서 100% 악성코드 탐지율을 기록했다^[9]. 이 평가의 샘플에는 알려진 악성코드뿐 아니라 변종·제로데이 샘플이 포함되어 있다. 시큐레터의 MARS 엔진은 리버스엔지니어링 기반의 비실행형 파일 분석을 수행하므로 시그니처 의존도가 낮다. CDR과 결합하면 알려진 위협과 알려지지 않은 위협 모두 구조적으로 처리된다.

MARS + SLCDR 조합의 특징

• MARS — 실행 없이 바이너리 수준에서 구조 분석, 의심 패턴 기록
• SLCDR — 실행 가능 콘텐츠 유형 제거 + 원본 재조립
• 조합의 의미 — MARS가 "무엇이 들어있는가"를 분석하여 인텔을 축적하고, SLCDR이 "실행 가능 요소를 제거한 안전한 파일"을 사용자에게 전달

BNK 부산은행 망연계구간 APT 차단 실전 레퍼런스^[18]가 이 조합의 현장 적용 사례다.

CDR이 단일 해답이라는 주장은 과장이다. 현실의 방어는 다층(defense-in-depth)로 구성되며 CDR은 그 중 "첫 번째 구조적 필터"로 위치한다.

주요 방어 기법별 제로데이 커버리지를 체계적으로 정리한다.

Patch Tuesday vs CDR 즉각성

Stuxnet 4-zeroday, 8년째 현역인 Equation Editor, Follina의 패치 없는 4주, Storm-0978 CVE-2023-36884, ScarCruft CVE-2024-38178, 2026.2 NVD 등재 CVE-2025-29867 Hancom 全라인. 이 16년 연표는 한 가지 사실을 말한다 — "제로데이는 계속 등장할 것이고, 그 사이의 방어는 시그니처·샘플·학습 데이터가 존재하기 전의 시간에 작동해야 한다."

답은 탐지하지 않고 제거하는 것. 문서 내부의 실행 가능 콘텐츠 유형을 구조적으로 제거하고 원본 업무 정보를 보존한 정규 포맷으로 재조립한다. CVE 번호가 불요다. 샌드박스 회피 기법의 영향을 받지 않는다. 학습 데이터 분포 밖의 새 변종에도 동일 원리가 작동한다. Patch Tuesday 이전에도, EOL 버전에도, 2028년의 아직 이름 없는 제로데이에도.

Mandiant M-Trends 2024의 2023년 97개 in-the-wild 제로데이는 증가 추세다. Project Zero가 "vulnerability disclosure is a tool for defenders"를 선언한 배경에는 공격자 선점이라는 비대칭이 있다. 이 비대칭을 좁히는 방법은 탐지의 정교화가 아니라 탐지에 의존하지 않는 방어 계층이다. 패치와 CDR은 대체가 아닌 보완이며, EOL·패치 미적용·Zero-day in-the-wild의 세 공백에서 CDR은 유일한 구조적 방어다.