시프트업 '니케' PC 런처 탄 악성코드…개인 금융·가상자산 지갑 탈취 위협

[포인트경제] 공식 홈페이지에서 내려받은 정상 게임 프로그램을 켰을 뿐인데 개인의 가상자산 지갑과 금융 정보가 유출될 위험에 처하는 보안 사고 정황이 포착됐다. 국내 게임사 시프트업이 개발하고 중국 텐센트 산하 레벨 인피니트가 유통하는 인기 게임 '승리의 여신: 니케(이하 니케)'의 공식 PC 실행 프로그램(런처)이 해킹에 노출되면서, 가상자산 보유자들을 노린 대규모 자산 탈취 시도 의혹이 불거졌다.

공식 유통망에서 발생한 이번 사태는 단순한 게임 계정 유출이나 시스템 오류 수준과 차원이 다르다. 게임 실행만으로 이용자의 실질적인 금전적 재산권이 직격탄을 맞을 수 있다는 점에서 파장이 더욱 커지고 있다.

△ 28종 가상자산 지갑 표적…런처 작동 시 자동 감염돼 자산 노려

보안 연구자 '마더스피어'가 4일 깃허브에 공개한 기술 분석 보고서에 따르면, 니케의 해외 유통 서버(CDN) 내 필수 자바스크립트 파일이 지난 9월 27일경 외부 해커에 의해 변조됐다.

이용자가 공식 런처를 실행하면 변조된 파일이 작동하면서 해커의 외부 서버로부터 원격제어 도구 성격의 악성 프로그램을 자동으로 내려받게 된다. 10월 하순부터 PC에서 실제 구동된 이 악성 프로그램은 이용자의 개인 자산을 겨냥한 정교한 데이터 수집 알고리즘을 탑재했다.

가장 위협적인 부분은 28종에 달하는 주요 가상자산(암호화폐) 지갑의 개인키와 관련 데이터가 주된 탈취 대상에 포함됐다는 점이다. 이에 더해 웹 브라우저에 저장된 사이트 로그인 정보와 계정 비밀번호, 개발자용 API 인증키까지 수집 대상이 됐다.

해커는 구글 크롬 브라우저 설정 경로 등에 악성 코드를 안착시켜 이용자가 게임을 종료한 후에도 백그라운드에서 상시 작동하며 자산 정보를 노리도록 설계했다. 가상자산 거래가 활발한 이용자층의 특성을 노려 직접적인 금전적 이득을 취하려 한 전형적인 금융 표적형 공급망 공격으로 분석된다.

△ 서버 수정돼도 PC엔 악성코드 남아…지갑 이동 등 긴급 조치 필요

운영진은 상황을 인지한 뒤 변조된 서버 스크립트를 원본으로 교체했으나, 보안 전문가들은 이미 PC에 침투한 악성코드가 스스로 사라지지는 않는다고 경고한다. 서버 측 조치와 별개로 감염된 이용자의 가상자산이 외부로 빼돌려질 위험이 남아있는 셈이다.

감염이 의심되는 이용자라면 추가 피해를 막기 위한 즉각적인 자산 보호 조치가 요구된다. 공식적인 안전 검증 조치가 확인될 때까지 PC 런처 실행을 정지해야 한다. 감염이 의심되는 경우 스마트폰 등 안전함이 확보된 다른 기기를 이용해 웹 브라우저와 게임 계정의 비밀번호를 즉시 변경해야 한다.

특히 개인키 노출 위험이 있는 가상자산 지갑은 즉시 새로운 지갑 주소를 생성해 자산을 전량 이동시키고, 연동된 세션 토큰을 모두 해제하는 직권 조치를 취해야 피해를 막을 수 있다.

정상 배포망을 악용해 이용자의 금융 자산을 직접 위협하는 공급망 해킹은 이용자가 사전에 주의를 기울이기 어렵다. 개발사와 퍼블리셔가 피해 규모와 정보 유출 여부를 명확히 밝히고 전향적인 자산 보호 대책을 내놓아야 한다는 목소리가 거세지고 있다.