BitLocker를 우회하는 ‘YellowKey’ 제로데이 취약점, 어떻게 작동하나

다만 원격 공격과 달리 공격자가 장비에 물리적으로 접근해야 한다는 제한이 있다. 시스템을 재부팅하고 부팅 또는 복구 환경에 접근할 수 있어야 공격이 가능하다.

그럼에도 불구하고 이 취약점이 주목받는 이유는, 많은 조직이 "장비를 도난당해도 BitLocker가 데이터를 보호한다"는 보안 모델을 전제로 운영하기 때문이다.

YellowKey 공격은 어떻게 작동하나

공개된 PoC(개념증명) 시연에 따르면 공격은 Windows Recovery Environment(WinRE) 내부 동작을 이용한다. WinRE는 Windows가 부팅되지 않거나 문제를 복구해야 할 때 사용하는 내장 복구 환경이다.

공격 흐름을 단순화하면 다음과 같다.

• 공격자는 USB 드라이브나 EFI 파티션에 특수하게 조작된 FsTx(Transactional NTFS) 파일을 준비한다.
• 대상 시스템을 **Windows Recovery Environment(WinRE)**로 재부팅한다.
• WinRE가 복구 과정에서 해당 FsTx 파일을 처리할 때 취약점이 트리거된다.
• 이 과정에서 **시스템 스토리지에 접근 가능한 셸(shell)**이 생성될 수 있다.
• 복구 환경에서 파일 시스템 상태가 처리되는 방식 때문에 BitLocker로 보호된 볼륨에 접근이 가능해질 수 있다.

결과적으로 공격자는 정상적으로는 암호화되어 있어야 할 데이터에 접근할 수 있게 된다.

물리적 접근 공격이 여전히 중요한 이유

“물리적 접근이 필요하다”는 조건은 종종 위험을 과소평가하게 만들지만, 실제 보안 사고에서는 매우 흔한 시나리오다.

대표적인 예는 다음과 같다.

• 노트북 분실 또는 도난
• 출장이나 공항 보안 검사 등에서의 장비 일시 압수
• 잠시 방치된 사무실 PC
• 지점 사무실, 키오스크, 현장 장비

특히 TPM만 사용하는 BitLocker 자동 잠금 해제 구성에서는 위험이 더 커질 수 있다. 이 설정에서는 사용자의 입력 없이도 시스템 부팅 과정에서 디스크가 자동으로 해제될 수 있기 때문이다.

Microsoft가 권장한 임시 대응 방법

취약점이 공개된 시점에서 Microsoft는 정식 보안 패치를 아직 제공하지 않았지만, 관리자를 위한 완화 조치를 발표했다.

1. WinRE의 autofstx.exe BootExecute 항목 제거

관리자는 WinRE 이미지의 BootExecute 레지스트리 값에서 autofstx.exe 항목을 제거하도록 권고받았다.

이 조치는 공격이 악용하는 Transactional NTFS 로그 재생 메커니즘을 차단하기 위한 것이다.

2. BitLocker를 TPM + PIN 방식으로 구성

Microsoft는 BitLocker를 TPM 단독 방식 대신 TPM + PIN으로 설정할 것을 권장한다.

이 설정은 부팅 시 사용자 PIN 입력을 요구하므로, 장비를 물리적으로 확보한 공격자가 디스크를 자동으로 해제하는 것을 크게 어렵게 만든다.

3. 부팅 및 복구 환경 보안 강화

추가적인 방어 조치로 다음과 같은 설정도 권장된다.

• USB 또는 외부 장치 부팅 제한
• UEFI/BIOS 관리자 비밀번호 설정
• Secure Boot 활성화 유지
• WinRE 이미지나 부팅 구성 변경 여부 모니터링

이러한 조치는 공격자가 WinRE에 접근하거나 악성 부팅 경로를 만드는 것을 어렵게 만든다.

YellowKey를 공개한 연구자

이 취약점은 Chaotic Eclipse 또는 Nightmare‑Eclipse라는 온라인 별칭을 사용하는 보안 연구자가 공개했다. 연구자는 공격 방식을 설명하는 Proof‑of‑Concept 코드도 공개했다.

해당 연구자는 Microsoft 구성요소를 겨냥한 다른 취약점들도 공개해 왔으며, YellowKey 역시 그 연속선상에 있는 사례로 알려져 있다.

보안 전문가들은 일반적으로 PoC 코드가 공개되면 실제 공격의 진입 장벽이 낮아진다고 지적한다. 특히 공급업체 패치가 아직 배포되지 않은 상황에서는 위험이 더 커질 수 있다.

조직이 모니터링해야 할 징후

정식 패치가 나오기 전까지 보안팀은 다음과 같은 이상 징후를 주의 깊게 살펴볼 필요가 있다.

• 예상치 못한 Windows Recovery Environment 부팅 기록
• WinRE 이미지 또는 BootExecute 설정 변경
• EFI 파티션, 부팅 순서, Secure Boot 설정 변경
• 승인되지 않은 USB 부팅 시도
• BitLocker 보호자 설정 또는 TPM 구성 변경

이러한 이벤트는 시스템 부팅 체인이나 복구 환경을 조작하려는 시도를 나타낼 수 있다.

디스크 암호화 보안에서 얻는 교훈

YellowKey는 중요한 보안 교훈을 보여준다. 디스크 암호화만으로는 모든 공격을 막을 수 없다는 점이다.

부트로더, 펌웨어, 복구 환경 같은 구성요소도 암호화 시스템과 동일한 **신뢰 경계(trust boundary)**에 포함된다. 이 중 하나라도 취약하면 전체 보호 체계가 무너질 수 있다.

따라서 BitLocker를 사용하는 조직은 다음을 함께 적용하는 것이 중요하다.

• 프리부트 인증(예: TPM + PIN)
• 펌웨어 및 Secure Boot 보호
• 외부 부팅 및 복구 환경 접근 제한

Microsoft가 CVE‑2026‑45585에 대한 완전한 패치를 배포하기 전까지 이러한 방어 조치는 중요한 보안 완충 장치 역할을 한다.