니케 PC 런처 해킹 의혹... 왕자영요 등 레벨 인피니트 게임 영향도 촉각

미국 뉴욕 맨해튼 타임스퀘어에 걸린 승리의 여신: 니케 4주년 옥외광고 시프트업이 개발하고 레벨 인피니트가 서비스하는 '승리의 여신: 니케' PC 런처에 악성코드가 유입됐다는 의혹이 제기됐다. 게임 실행 과정에서 불러오는 공식 콘텐츠전송네트워크(CDN) 파일이 변조돼 일부 이용자 PC에서 원격제어 프로그램이 실행될 수 있었다는 분석이다. 같은 레벨 인피니트 계열 서비스를 이용하는 다른 게임의 영향 여부에도 관심이 쏠린다. 4일 깃허브에 공개된 최신 보안 분석 보고서에 따르면 니케 PC 런처가 불러오는 레벨 인피니트 CDN의 자바스크립트 파일 4개에서 외부 코드를 호출하는 변조 흔적이 발견됐다. 해당 파일은 지난 9월 27일 변경됐으며, 늦어도 10월 23일부터 일부 런처 실행 과정에서 원격제어 프로그램이 내려받아져 작동한 사례가 확인됐다고 작성자는 주장했다. 공격 방식은 이용자가 공식 니케 PC 런처를 실행하면 변조된 파일이 외부 서버의 스크립트를 호출하고, 이후 별도 프로그램을 내려받아 실행하는 구조다. 정상적인 공식 배포 경로를 악용해 이용자 단말에 악성코드를 전달하는 이른바 공급망 공격에 해당할 가능성이 제기된다. 보고서는 내려받아진 프로그램이 임의 명령 실행과 파일 접근, 화면 캡처 기능 등을 갖췄다고 분석했다. 니케 런처에 저장된 로그인 정보뿐 아니라 웹브라우저 데이터와 쿠키, 개발 도구 인증정보, 가상자산 지갑 관련 파일 등을 수집할 수 있는 기능도 포함됐다는 설명이다. 다만 실제로 어떤 정보가 외부로 유출됐는지, 감염 이용자가 몇 명인지는 현재까지 확인되지 않았다. 공개 분석은 감염된 PC와 런처 로그·캐시, 내려받아진 프로그램, CDN에 남아 있던 파일을 토대로 이뤄졌다. 보고서 작성자는 악성 프로그램을 직접 실행하지 않고 정적 분석한 결과라고 밝혔다. 레벨 인피니트 측 CDN에서는 일부 복구 정황도 확인됐다. 최신 보고서에 따르면 변조된 파일 가운데 3개는 한국시간 4일 새벽 교체됐다. 나머지 1개는 원본 서버에서 앞서 정상 파일로 바뀌었지만 같은 시점에도 일부 CDN 서버가 이전 변조본을 전달한 사례가 확인됐다. 공격에 사용된 외부 서버도 이후 응답을 중단했다. 다만 서버 파일을 정상화했다고 이미 영향을 받은 PC까지 복구되는 것은 아니다. 변조 파일이 런처 캐시에 남아 있을 수 있고, 악성 프로그램이 이미 실행된 PC에는 별도 흔적이 남을 가능성이 있어 추가 확인이 필요하다는 게 보고서 작성...