게이머 커뮤니티의 신뢰를 악용하는 사이버 위협
PC 게임 생태계는 유저 모드(Mod), 비공식 한글화 패치, 인디 개발자의 테스트 모집 등 개방적인 참여 문화를 통해 발전해 왔습니다. 그러나 사이버 범죄자들은 게이머들이 모드나 최적화 패치를 설치할 때 Windows 관리자 권한을 쉽게 부여하고 백신 검사 예외 설정을 주저 없이 적용한다는 보안 허점을 악용하기 시작했습니다.
이로 인해 최근 가장 위험한 보안 위협으로 떠오른 것이 바로 인포스틸러(Infostealer: LummaC2, Stealc, RedLine, Vidar 등) 악성코드입니다. 디스크를 암호화하여 금전을 요구하는 랜섬웨어와 달리 인포스틸러는 완벽한 무음 상태로 작동합니다. 실행 후 단 15초 만에 웹 브라우저의 로그인 세션 쿠키, Discord 계정 토큰, Steam 접속 데이터, 저장된 비밀번호, 암호화폐 지갑 정보를 통째로 외부로 빼돌린 후 스스로 흔적을 지웁니다.
게임 관련 주요 악성코드 유포 경로 비교 매트릭스
게이머를 표적으로 삼는 4대 악성코드 유포 수법의 특성은 다음과 같습니다:
| 유포 채널 및 방식 | 대표 악성코드 패밀리 | 주 표적 탈취 데이터 | 감염 후 탈취 완료 시간 | VirusTotal 정적 탐지율 | 대응 긴급도 단계 |
|---|---|---|---|---|---|
| Discord "인디 게임 테스트" 피싱 | LummaC2 / Stealc | 브라우저 세션 쿠키, Discord 토큰, Steam 세션 | 5초~15초 이내 | 극도로 낮음(동적 암호화 패커 사용) | 최악(실시간으로 계정 권한 도용 진행) |
| 정규 모드 변조(공급망 공격) | Vidar / RedLine | 로컬 저장 비밀번호, 암호화폐 지갑 파일 | 10초~30초 | 중간(유포 수 시간 후 백신 탐지 시작) | 높음(모드 폴더 삭제 및 비밀번호 변경) |
| 가짜 모드 인스톨러(.bat / .cmd) | 드로퍼 및 다운로더 트로이목마 | 백그라운드에서 2차 악성 페이로드 다운로드 | 20초~60초 | 높음(휴리스틱 엔진이 의심 스크립트 탐지) | 높음(시작프로그램 및 작업 스케줄러 점검) |
| 불법 복제 토렌트 게임 | 은닉형 채굴 프로그램 + 인포스틸러 | 시스템 연산 자원 무단 사용 및 전체 계정 정보 | 백그라운드 지속 상주 | 높음(사용자가 백신 오진으로 오인하기 쉬움) | 심각(전체 드라이브 포맷 권장) |
Discord 가짜 게임 테스트 플레이 사회공학적 사기 수법
현재 Discord에서 가장 큰 피해를 일으키고 있는 수법은 지인 계정을 도용한 가짜 게임 테스트 사기입니다:
- 지인 계정 사전 탈취: 해커가 먼저 피해자의 친구 목록에 있는 계정이나 같은 디스코드 서버 멤버의 계정을 해킹합니다.
- 친근한 대화로 접근: 탈취한 지인의 이름으로 의심하기 어려운 DM을 보냅니다:
"안녕! 이번에 대학 동기들이랑 게임잼에 출품하려고 2D 도트 플랫포머 게임 하나 만들었는데, 5분만 플레이해보고 프레임 잘 나오는지 피드백 좀 줄 수 있을까?" - 메신저 자체 파일 검사 우회: 디스코드 내 직접 전송 시 파일이 검사되므로, 해커는 Google Drive나 Mega 같은 클라우드 링크를 보내며 압축 해제 비밀번호(예:
1234)를 함께 전달합니다. 암호화 압축으로 인해 클라우드 백신 엔진의 스캔이 무력화됩니다. - 정교한 가짜 게임 오류창 표시: 압축을 풀고
Game_Setup.exe를 실행하면 화면에 유니티(Unity)나 언리얼 엔진의 그럴듯한 가짜 충돌 오류창이 뜹니다:
피해자는 그래픽 카드 드라이버 호환 문제로 게임이 안 켜졌다고 생각하고 창을 닫아버립니다.UnityPlayer.dll: Failed to initialize graphics device. Direct3D 11 feature level 11.0 is required. - 백그라운드 실시간 정보 탈취: 오류창이 떠 있는 수초 동안 악성코드는
%LOCALAPPDATA%\Temp\에 상주하여 Chrome, Edge, Whale 브라우저의 암호화 쿠키를 복호화해 빼내고,%APPDATA%\discord\Local Storage\leveldb에서 모든 권한이 담긴 Discord 토큰을 수집하여 텔레그램 봇 API를 통해 해커에게 전송합니다.
2분 진단 가이드: 인포스틸러 침투 여부 확인법
의심스러운 파일을 실행했다면 네트워크를 끊기 전 다음 절차를 점검하십시오:
-
이상 외부 네트워크 연결 확인: 관리자 권한으로 PowerShell을 열고 외부와 통신 중인 소켓을 조회합니다:
Get-NetTCPConnection -State Established | Where-Object { $_.RemotePort -in 80, 443, 8080, 7777, 8443 } | Select-Object OwningProcess, RemoteAddress, RemotePort작업 관리자의 프로세스 PID와 대조하여 알 수 없는 백그라운드 프로세스가 외부 IP와 통신하고 있는지 확인합니다.
-
파일 디지털 서명 검증: 신뢰할 수 없는 실행 파일은 실행 전 반드시 서명 여부를 확인합니다:
Get-AuthenticodeSignature -FilePath "C:\의심파일경로.exe"상태가
NotSigned(미서명)이거나HashMismatch로 나온다면 절대 실행해서는 안 됩니다. -
작업 스케줄러 및 시작프로그램 상주 검사:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" Get-ScheduledTask | Where-Object { $_.Author -eq $null -or $_.TaskPath -like "*Temp*" }
악성코드 감염 시 긴급 복구 조치
인포스틸러에 감염된 경우, 감염된 PC에서 비밀번호를 변경하는 것은 아무 의미가 없습니다. 키로거가 새로운 비밀번호를 실시간으로 다시 낚아채기 때문입니다.
- 즉시 인터넷 랜선 분리 및 Wi-Fi 차단: PC의 외부 통신을 즉시 물리적으로 차단합니다.
- 깨끗한 스마트폰 등 다른 기기에서 계정 전면 갱신:
- Steam, Discord, Google, Microsoft 계정에서 "모든 기기에서 로그아웃" 실행.
- 주요 포털 비밀번호 전면 변경.
- Discord 계정의 2단계 인증(2FA)을 껐다가 다시 켭니다(이 과정을 거쳐야만 해커에게 유출된 기존 로그인 토큰이 즉시 파기됩니다).
- 운영체제 전면 클린 재설치: 최신 악성코드는 윈도우 깊숙한 곳까지 변조하므로 백신 검사에만 의존하지 말고 공식 USB를 통한 완전 포맷 후 윈도우 재설치를 권장합니다.
365Finds 모드 및 인디 게임 안전성 감사 도구
정식 배포처가 아닌 곳에서 모드나 인디 게임 테스트 파일을 다운로드하기 전 365Finds 모드 안전성 감사 도구를 사용해 보십시오. 파일 디지털 서명의 진위 판별, 공인 인포스틸러 위협 인텔리전스 대조, 1클릭 계정 보안 격리 점검표를 제공하여 안전한 PC 환경을 지켜드립니다.