시프트업이 개발하고 레벨 인피니트가 서비스하는 '승리의 여신: 니케' PC 런처에 악성코드가 유입됐다는 의혹이 제기됐다. 게임 실행 과정에서 불러오는 공식 콘텐츠전송네트워크(CDN) 파일이 변조돼 일부 이용자 PC에서 원격제어 프로그램이 실행될 수 있었다는 분석이다. 같은 레벨 인피니트 계열 서비스를 이용하는 다른 게임의 영향 여부에도 관심이 쏠린다.
4일 깃허브에 공개된 최신 보안 분석 보고서에 따르면 니케 PC 런처가 불러오는 레벨 인피니트 CDN의 자바스크립트 파일 4개에서 외부 코드를 호출하는 변조 흔적이 발견됐다. 해당 파일은 지난 9월 27일 변경됐으며, 늦어도 10월 23일부터 일부 런처 실행 과정에서 원격제어 프로그램이 내려받아져 작동한 사례가 확인됐다고 작성자는 주장했다.
공격 방식은 이용자가 공식 니케 PC 런처를 실행하면 변조된 파일이 외부 서버의 스크립트를 호출하고, 이후 별도 프로그램을 내려받아 실행하는 구조다. 정상적인 공식 배포 경로를 악용해 이용자 단말에 악성코드를 전달하는 이른바 공급망 공격에 해당할 가능성이 제기된다.
보고서는 내려받아진 프로그램이 임의 명령 실행과 파일 접근, 화면 캡처 기능 등을 갖췄다고 분석했다. 니케 런처에 저장된 로그인 정보뿐 아니라 웹브라우저 데이터와 쿠키, 개발 도구 인증정보, 가상자산 지갑 관련 파일 등을 수집할 수 있는 기능도 포함됐다는 설명이다. 다만 실제로 어떤 정보가 외부로 유출됐는지, 감염 이용자가 몇 명인지는 현재까지 확인되지 않았다.
공개 분석은 감염된 PC와 런처 로그·캐시, 내려받아진 프로그램, CDN에 남아 있던 파일을 토대로 이뤄졌다. 보고서 작성자는 악성 프로그램을 직접 실행하지 않고 정적 분석한 결과라고 밝혔다.
레벨 인피니트 측 CDN에서는 일부 복구 정황도 확인됐다. 최신 보고서에 따르면 변조된 파일 가운데 3개는 한국시간 4일 새벽 교체됐다. 나머지 1개는 원본 서버에서 앞서 정상 파일로 바뀌었지만 같은 시점에도 일부 CDN 서버가 이전 변조본을 전달한 사례가 확인됐다. 공격에 사용된 외부 서버도 이후 응답을 중단했다.
다만 서버 파일을 정상화했다고 이미 영향을 받은 PC까지 복구되는 것은 아니다. 변조 파일이 런처 캐시에 남아 있을 수 있고, 악성 프로그램이 이미 실행된 PC에는 별도 흔적이 남을 가능성이 있어 추가 확인이 필요하다는 게 보고서 작성자의 설명이다.
해외 커뮤니티에서는 이번 문제를 계기로 '왕자영요', '배틀그라운드 모바일', '델타 포스' 등 텐센트·레벨 인피니트와 연관된 다른 게임 역시 영향을 받은 것 아니냐는 주장이 확산하고 있다. 다만 왕자영요 등 다른 게임의 공식 파일에서 동일한 악성코드가 발견됐다거나 이용자 PC에서 같은 원격제어 프로그램이 실행됐다는 공개 근거는 확인되지 않았다.
이번 분석에서는 변조 파일이 레벨 인피니트의 공식 CDN에 존재했다는 점이 핵심 쟁점으로 지목됐다. 공격자가 CDN 저장소 자체에 접근했는지, 파일을 배포하는 과정에 침투했는지 등 최초 침입 경로는 아직 밝혀지지 않았다.
보고서 작성자는 레벨 인피니트의 공식 복구 확인 전까지 니케 PC 런처 실행을 중단하고, 노출 가능성이 있는 이용자는 런처 캐시와 감염 흔적을 확인할 것을 권고했다.
니케 운영진은 공식 게임 라운지 공지를 통해 “PC 런처의 스크립트 파일이 제3자에 의해 변조됐을 가능성이 있는 이상 현상을 확인했다”며 “이날 오전 2시 30분경 클라이언트 수정 및 업데이트를 진행했다”고 밝혔다. 이어 “현재 영향 범위를 확인 중이며 후속 조치 방안은 별도 공지를 통해 안내하겠다”고 덧붙였다.
박정은 기자 jepark@etnews.com
