[단독] 믿고 켠 니케가 PC 해킹 통로로?…이용자가 분석·방역까지 나섰다

[경제일보] 게임을 하려고 켠 공식 실행 프로그램이 내 컴퓨터를 공격하는 통로였다면 어떨까. ‘승리의 여신: 니케’ PC 런처를 통해 원격제어·정보탈취 악성코드가 유포됐다는 분석이 공개되면서 이용자들의 불안이 커지고 있다. 커뮤니티에서는 감염 흔적을 찾고 대응 도구를 만드는 움직임까지 이어졌다. 

니케는 국내 게임사 시프트업이 개발하고 텐센트 산하 레벨인피니트가 서비스하는 게임이다. 이번 문제는 모바일 버전이 아닌 PC 런처에서 제기됐다.

보안 연구자 '마더스피어(MotherSphere)'가 지난 3일 공개한 분석 보고서에 따르면 레벨인피니트의 콘텐츠전송망(CDN)에 올라온 공식 자바스크립트 파일 3개가 변조됐다. 런처가 실행 과정에서 이 파일을 불러오면 외부 서버에 접속해 악성 프로그램을 내려받는 구조다.

보고서는 변조된 파일이 지난 9월 27일부터 CDN에 올라와 있었으며, 악성 프로그램이 실제 전달된 것은 11월 1일 이전부터인 것으로 분석했다. 게임 이용자가 별도의 파일을 내려받거나 수상한 사이트에 접속하지 않아도 정상 런처를 실행하는 과정에서 감염될 수 있다는 주장이다.

 
분석자가 확인한 악성 프로그램은 원격 명령 실행과 파일 열람, 화면 캡처 기능을 갖췄다. 브라우저에 저장된 비밀번호와 쿠키, 인증 토큰 등도 탈취할 수 있는 것으로 분석됐다. 윈도 환경에서는 크롬 관련 폴더와 레지스트리를 이용해 런처를 종료한 뒤에도 악성코드가 작동하도록 하는 기능이 확인됐다.

다만 실제 피해 규모는 확인되지 않았다. 해당 보고서는 감염된 PC 한 대의 로그와 파일을 분석하고 다른 이용자의 제보를 추가한 자료다. 악성 프로그램을 직접 실행하지 않고 코드 분석을 통해 기능을 파악했다. 이용자들의 정보가 실제로 얼마나 유출됐는지, 국내 감염자가 몇 명인지는 밝혀지지 않았다.

◆ 공식 파일 일부 교체…이용자들은 자체 점검

공개 보고서가 나온 뒤 이용자들은 깃허브 등을 통해 감염 흔적을 확인하는 프로그램과 대응 안내를 공유했다. 런처의 로그 파일에서 특정 실행 기록을 찾거나, 윈도 시스템에 남은 악성 파일과 설정 정보를 점검하는 방식이다.

보고서에 따르면 레벨인피니트는 11월 3일 변조된 자바스크립트 파일 가운데 두 개를 정상 파일로 교체했다. 나머지 한 개도 원본 서버에서는 정상 파일로 바뀌었지만, 일부 CDN 서버가 같은 날 오후까지 변조된 파일을 제공한 정황이 확인됐다. 한국시간으로는 4일 새벽까지다. 이용자 PC에 이전 파일이 캐시로 남아 있을 가능성도 제기됐다.
 
공격 코드에 예비 접속 주소로 포함된 도메인을 제3자가 먼저 등록해 경고 페이지로 연결한 사례도 나왔다. 그러나 이는 악성코드가 내려받는 경로 가운데 하나에 대응한 조치일 뿐, 레벨인피니트의 배포망을 복구하거나 이미 감염된 PC를 치료한 것은 아니다.

커뮤니티에 공개된 점검·제거 프로그램은 게임 운영사가 제공한 공식 도구가 아니다. 일부 안내는 로그 기록과 시스템 파일을 직접 확인하도록 하고 있지만, 특정 흔적이 없다는 이유만으로 감염되지 않았다고 단정할 수도 없다. 이용자가 검증되지 않은 제거 스크립트를 무작정 실행할 경우 정상 파일이나 설정을 삭제할 위험도 있다.

◆ 운영사 공식 설명과 피해 범위 공개 필요

이번 사고가 모바일 버전에도 영향을 미쳤다는 증거는 현재까지 확인되지 않았다. 다만 PC 런처를 이용한 윈도 사용자뿐 아니라 리눅스나 스팀덱에서 호환 도구인 프로톤을 통해 PC 버전을 실행한 이용자도 영향권에 포함될 수 있다는 분석이 나왔다.

이용자들이 가장 궁금해하는 것은 자신의 PC가 안전한지, 런처를 다시 실행해도 되는지다. 이를 판단하려면 변조된 파일의 교체 여부뿐 아니라 CDN 서버 전체의 정상화와 이용자 PC에 남은 캐시 파일까지 확인해야 한다.

아울러 시프트업과 레벨인피니트는 사고 인지 시점과 변조된 파일의 범위, 악성 프로그램이 전달된 기간, 감염 가능 이용자 규모를 밝혀야 한다. 서버 측 조치가 끝났다면 이용자들이 확인할 수 있는 공식 점검 방법과 복구 절차도 안내해야 한다. 이용자들이 직접 PC를 뒤지고 비공식 프로그램에 의존하는 상황을 계속 방치해서는 안 된다.