레벨 인피니트 '승리의 여신: 니케' PC 런처 해킹돼 악성코드 유포...비밀번호·가상자산 지갑 노린 공급망 공격, 5일 공식 사과
니케 PC 런처가 해킹돼 정보 탈취 악성코드 유포 통로가 됐다
[한국정보기술신문] 인기 게임 '승리의 여신: 니케'(이하 니케)의 공식 PC 런처가 해킹됐다. 런처는 게임을 설치하고 실행해 주는 프로그램이다. 해커는 런처가 불러오는 공식 파일을 몰래 바꿔 악성코드를 퍼뜨렸다. 니케를 서비스하는 레벨 인피니트는 5일 공식 사과문을 내고 후속 조치를 안내했다.
니케는 국내 게임사 시프트업이 개발한 건슈팅 역할수행게임(RPG)이다. 서비스와 PC 런처 운영은 중국 텐센트 산하 게임 브랜드 레벨 인피니트가 맡고 있다. 2022년 11월 4일 출시됐으며, 이번 사건은 출시 4주년 무렵에 드러났다.
공식 파일 4개 변조…게임만 켜도 감염
사건은 독립 보안 연구자 '마더스피어(MotherSphere)'가 3일 개발자 플랫폼 깃허브에 분석 보고서를 올리며 알려졌다. 이에 앞서 중국 게임 커뮤니티 NGA 이용자들이 이상 현상을 먼저 감지했다.
보고서에 따르면 공격자는 9월 27일 레벨 인피니트의 콘텐츠전송네트워크(CDN) 서버에 있는 자바스크립트 파일 4개를 변조했다. CDN은 파일을 여러 서버에 나눠 두고 빠르게 내려받게 해 주는 배포망이다. 변조된 파일은 런처를 실행할 때마다 자동으로 불러오는 공식 파일이었다.
공격자는 이 파일에 외부 서버의 스크립트를 불러오는 코드를 심었다. 이용자가 평소처럼 게임을 켜기만 해도 악성 프로그램이 내려받아질 수 있는 구조다. 이처럼 정상 소프트웨어의 배포 과정을 노리는 수법을 '공급망 공격'이라고 부른다. 이용자가 수상한 사이트에 접속하지 않아도 감염될 수 있어 위험성이 크다.
비밀번호·SSH 키·가상자산 지갑 노려
설치되는 악성코드는 원격접속 도구(RAT) 형태로 분석됐다. 공격자는 이를 이용해 감염된 PC를 원격으로 조종하고, 파일을 빼내고, 화면을 몰래 캡처할 수 있다.
탈취 대상도 넓었다. 보고서는 △웹 브라우저에 저장된 아이디·비밀번호 △쿠키와 인증 토큰 △니케 게임 계정 정보 △개발자용 SSH 보안키와 API·클라우드 인증 정보 △크롬 확장 프로그램 형태의 가상자산 지갑 28종의 데이터를 수집 대상으로 지목했다. 크롬 브라우저에 악성 DLL 파일을 등록해 런처를 끈 뒤에도 악성코드가 작동하게 하는 기능도 확인됐다.
윈도 PC만의 문제도 아니었다. 휴대용 게임기 스팀덱에서 호환 프로그램 '프로톤'으로 게임을 실행한 이용자도 노출됐을 수 있다는 분석이 나왔다.
다만 정보 탈취 기능이 있다고 해서 실제로 정보가 유출됐다는 뜻은 아니다. 감염된 이용자 수와 실제 유출 규모는 아직 확인되지 않았다.
악성코드 배포 시점 놓고 엇갈려
악성코드가 언제부터 실제로 퍼졌는지는 설명이 엇갈린다. 연구자 보고서에 기록된 가장 이른 실행 시점은 한국시간 10월 24일이다. 반면 레벨 인피니트는 사과문에서 10월 30일부터 배포가 시작됐다고 밝혔다. 파일 변조 시점은 양쪽 모두 9월 27일로 같다.
대응 과정에도 논란이 있었다. 보고서에 따르면 변조 파일 4개 중 3개는 4일 새벽 정상 파일로 교체됐다. 그러나 4일 오전 7시 26분에도 일부 배포 서버에 변조 파일이 남아 있었던 것으로 전해졌다. 초기에는 이용자 안내 없이 파일만 교체됐다는 지적도 나왔다.
레벨 인피니트는 4일 공지에서 "PC 런처의 스크립트 파일이 제3자에 의해 변조됐을 가능성"을 확인했다고 밝혔다. 이어 같은 날 새벽 2시 30분쯤 클라이언트 수정과 보안 업데이트를 진행했다고 설명했다.
레벨 인피니트 "깊은 책임 느낀다"…자동 검사 기능 도입
레벨 인피니트는 5일 니케 네이버 라운지와 공식 X 계정에 사과문을 올렸다. 회사는 9월 27일 일부 게임 서비스용 도메인이 제3자에게 탈취되면서 사건이 시작됐다고 설명했다. 4일 0시부터 조사에 들어가 같은 날 정오까지 보안 조치와 점검을 마쳤다고 밝혔다.
회사는 사과문에서 안전한 서비스를 제공하지 못한 데 대해 운영사로서 "깊은 책임을 느낀다"고 밝혔다.
런처 자체는 고쳤지만, 이미 감염된 PC에는 악성 프로그램이 남아 있을 수 있다. 이에 회사는 5일 니케 PC 클라이언트에 악성 프로그램 자동 검사·제거 기능을 넣었다. 이용자가 직접 PC를 점검하는 방법도 안내했다.
재발 방지책으로는 △보안 모니터링 강화 △파일 무결성 검증 체계 구축 △런처 권한 최소화를 내놨다. 무결성 검증은 내려받은 파일이 원본과 똑같은지 확인하는 장치다. 모바일 버전은 해당 런처를 쓰지 않아 이번 공격과 관련이 없다는 것이 회사의 설명이다.
다른 게임·업계로 불안 번져
레벨 인피니트는 여러 게임을 함께 서비스한다. 이 때문에 다른 게임도 피해를 봤는지 우려가 나왔다. 크래프톤은 배틀그라운드 모바일이 이번 해킹과 무관하다고 밝혔다. 아레나 브레이크아웃도 영향이 없다고 공지했다. 델타 포스는 커뮤니티 매니저를 통해 내부 점검 결과 안전하다고 전했다.
넥슨은 전사 차원의 긴급 보안 공지를 냈다. 임직원 PC에서 해당 런처를 즉시 삭제하고 보안팀에 신고하라고 지시했다. 회사 내부 시스템이 2차로 감염되는 것을 막기 위한 조치다.
이용자 대응 요령
9월 27일 이후 니케 PC 런처를 실행했다면 PC 점검이 필요하다. 연구자 보고서는 니케 설치 폴더의 'Launcher/intl_service/debug.log' 파일에서 'k2f_chan registered' 문구를 찾아보라고 안내했다. 이 문구가 있으면 원격제어 프로그램이 실행된 흔적일 수 있다. 다만 게임을 지웠다가 다시 설치하면 기록이 사라질 수 있어 문구가 없다고 안심하기는 이르다.
감염이 의심되면 먼저 런처를 끄고 인터넷 연결을 끊는 것이 좋다. 이후 감염되지 않은 스마트폰 등 다른 기기로 주요 계정 비밀번호를 바꿔야 한다. 니케·레벨 인피니트 계정부터 이메일, 금융 서비스 순으로 바꾸고 모든 기기에서 로그아웃한다. 2단계 인증도 켜 두는 것이 좋다.
개발 업무를 하는 이용자는 API 키와 접근 토큰을 새로 발급받아야 한다. 가상자산 지갑을 쓴다면 자산을 새 지갑으로 옮기는 것도 검토해야 한다. 레벨 인피니트는 계정 이상이나 금전 피해가 생기면 공식 고객센터로 문의하라고 당부했다.
남은 과제는 침입 경로 규명
공격자가 어떻게 CDN 파일을 고칠 권한을 얻었는지는 아직 밝혀지지 않았다. 연구자는 침입 경로가 확인되지 않은 만큼 공격자가 다른 도메인으로 다시 공격할 수 있다고 경고했다.
시프트업의 자체 개발 시스템이나 게임 서버가 직접 뚫렸다는 증거는 없다. 그러나 이용자가 공식 프로그램을 믿고 실행했다가 위험에 노출됐다는 점에서 서비스 신뢰 문제는 피하기 어렵다는 지적이 나온다. 업계에서는 위탁 운영되는 배포 인프라의 관리 허점이 드러났다는 평가도 있다.
정확한 감염 규모와 실제 피해 여부는 레벨 인피니트의 추가 조사 결과에 따라 드러날 전망이다.
한국정보기술신문 정보보안분과 안서진 기자 news@kitpa.org
