‘니케’ 게임 런처, 해킹 통로로 쓰였나

인기 게임 ‘승리의 여신: 니케’가 해킹 도구로 사용됐다는 의혹이 제기됐다. 게임을 실행하는 PC 런처 파일이 변조돼 원격제어 악성코드가 설치될 수 있다는 내용이다. 이 게임은 국내 개발사 시프트업이 개발하고 텐센트 산하 레벨인피니트가 서비스한다. 레벨인피니트는 긴급 클라이언트 수정을 진행했으며 현재 영향 범위를 조사하고 있다고 밝혔다.

업계에 따르면 지난 3일 소프트웨어 개발자 플랫폼 깃허브에 니케 PC 런처를 통한 악성코드 유포 의혹을 제기한 보고서가 공개됐다. 작성자 마더스피어(MotherSphere)는 감염된 PC의 기록과 저장된 파일을 분석했으며, 다른 이용자들의 제보를 종합해 공격 경로와 악성코드의 기능을 함께 공개했다.

보고서에 따르면 지난 9월 27일 레벨인피니트 공식 콘텐츠전송네트워크(CDN)에 등록된 자바스크립트 파일 4개가 변조된 정황이 포착됐다. CDN은 게임 실행에 필요한 파일을 이용자에게 빠르게 전달하는 서버망이다. 파일에는 PC 런처 실행 시 외부 서버에서 원격제어 악성코드를 내려받아 실행하도록 하는 명령이 삽입돼 있었다는 분석이다.

이를 통해 설치되는 프로그램은 ‘RAT’으로 불리는 원격접속 악성코드다. 원격으로 이용자 PC에 명령을 내려 정보를 탈취할 수 있는 프로그램이다. 파일 받기, 열기, 화면 캡처를 비롯해 총 19종의 명령을 수행할 수 있는 것으로 파악됐다. 특히 웹브라우저에 저장된 비밀번호, 로그인 정보, 암호화폐 지갑과 같은 정보도 탈취할 수 있다는 설명이다.

공격자는 외부 명령제어서버(C2)를 구축해 감염된 PC를 원격으로 조종하고 정보를 수집할 수 있도록 했다. 또 악성코드를 구글 웹브라우저 크롬의 정상적인 프로그램 파일로 위장하고, 크롬이 해당 파일을 불러오도록 설정했다. 이에 니케 런처를 종료한 이후에도 악성코드가 작동할 수 있게 설계했다는 주장이다.

보고서는 늦어도 지난달 23일부터 악성코드가 실행된 정황이 확인됐다고 전했다. 당초 변조된 파일 4개 가운데 1개가 일부 CDN 서버에 변조된 상태로 남아 있었으나, 4일 추가 분석에서는 모든 파일이 정상화된 것으로 확인됐다.

실제 감염자 수와 개인정보 유출 규모는 아직 확인되지 않았지만, 보고서 작성자는 이용자들에게 문제가 완전히 해결됐다는 공식 안내가 나오기 전까지 PC 런처 실행을 자제할 것을 권고했다. 악성코드에 감염된 경우 안전한 다른 기기에서 주요 계정의 비밀번호를 변경하고 가장 안전한 방법으로 운영체제 재설치하라고 안내했다.

레벨인피니트는 이날 PC 런처의 스크립트 파일이 변조됐을 가능성이 있다고 판단해 긴급 조치를 진행했다. 이날 오전 2시 30분께 클라이언트 수정 업데이트를 실시하고 공식 커뮤니티와 사회관계망서비스(SNS)를 통해 관련 내용을 공지했다.

이와 관련 레벨인피니트 측은 해당 현상이 이용자에게 미친 영향 범위와 유입 경로 등을 조사 중이며, 확인 결과에 따라 후속 조치 방안을 안내하겠다고 전했다. 개발사 시프트업 측은 퍼블리셔인 레벨인피니트를 통해 정확한 경위와 관련 상황을 파악하고 있다는 입장이다.

글. 바이라인네트워크
<윤정환 기자>yjh@byline.network