서바이벌 크래프팅 겜 Chemia가 암호화폐 지갑 정보와 브라우저 데이터를 탈취하도록 설계된 악성코드를 유포했다는 보안 전문가들의 발견 이후 Steam 플랫폼에서 삭제되었습니다. 해당 악성코드는 Larva-208로도 알려진 사이버 범죄 조직 EncryptHub와 연관된 것으로 밝혀졌습니다. 이 겜은 개발 중인 게임을 미리 플레이해 볼 수 있는 Steam의 얼리 액세스(Early Access) 프로그램을 통해 유저들에게 제공되고 있었습니다.
해킹 사건 발생으로 Steam에서 Chemia 삭제
사전 예약 시 1개월 GTA+ 구독권이 제공됩니다.
지금 GTA 6 사전 예약하세요
Steam 겜 파일에 삽입된 악성코드
사이버 보안 기업 Prodaft가 발표한 보고서에 따르면, Chemia 겜 파일은 7월 22일에 수정되어 HijackLoader, Vidar Stealer, Fickle Stealer라는 세 가지 유형의 악성코드가 포함되었습니다. 이러한 악성코드는 브라우저에 저장된 계정 정보, 쿠키, 디지털 지갑 키 등 유저의 민감한 정보를 탈취하는 데 흔히 사용됩니다.
HijackLoader는 백그라운드에서 은밀하게 작동하여 공격자가 감염된 시스템에 침투할 수 있는 거점을 마련했습니다. Vidar Stealer와 Fickle Stealer는 브라우저 기반 저장소와 암호화폐 관련 파일을 타겟팅하여 개인 데이터를 추가로 추출했습니다. 이러한 도구들은 겜 성능에 큰 영향을 주지 않았기 때문에, 대부분의 유저는 해킹 사실을 인지하지 못했습니다.
해킹 사건 발생으로 Steam에서 Chemia 삭제
Telegram 및 원격 서버를 타겟팅한 공격
Prodaft의 분석 결과, 해당 악성코드는 Telegram을 명령 및 제어(C&C) 채널로 사용한 것으로 나타났습니다. 공격자들은 이 방식을 통해 원격으로 명령을 내리고 감염된 기기를 제어할 수 있었습니다. Vidar Stealer가 사용하는 v9d9d.exe 파일, Fickle Stealer가 사용하는 cclib.dll(동적 링크 라이브러리)과 worker.ps1(PowerShell 스크립트) 조합 등 특정 실행 파일과 스크립트를 통해 추가적인 악성 파일이 다운로드되었습니다.
이 파일들은 soft-gets[.]com으로 식별된 외부 웹사이트에서 코드를 가져왔습니다. 이러한 원격 인프라를 통해 악성코드는 활성 상태를 유지하며 유연하게 대응할 수 있었습니다. 또한 공격자들은 언제든지 악성 구성 요소를 업데이트할 수 있어 탐지 및 제거 작업을 더욱 어렵게 만들었습니다.
해킹 사건 발생으로 Steam에서 Chemia 삭제
공식 입장 없이 겜 삭제한 Steam
발견 직후 Valve는 Steam 스토어에서 Chemia를 삭제했습니다. 현재 해당 겜의 스토어 페이지는 존재하지 않으며, 접속 시 플랫폼 메인 페이지로 리다이렉트됩니다. Valve는 삭제와 관련해 공식 입장을 밝히지 않았으며, Chemia의 개발사인 Aether Forge Studios 또한 어떠한 코멘트도 내놓지 않았습니다. 여러 매체에서 양측에 연락을 취했으나 정보 제공 요청에 응답하지 않고 있습니다.
해당 겜은 Steam의 얼리 액세스 프로그램을 통해 배포되었는데, 이 프로그램은 이전부터 보안 및 콘텐츠 검증이 다소 미흡하다는 비판을 받아왔습니다. 이 섹션의 겜들은 아직 개발 중인 상태이므로, 무단 코드 변경이나 불충분한 검토 과정에 더 취약할 수 있습니다.
Steam의 얼리 액세스 프로그램
악성코드가 발견된 다른 얼리 액세스 타이틀
이번 사건은 단발적인 사례가 아닙니다. 올해 초에도 Steam의 다른 얼리 액세스 겜 두 개(Sniper: Phantom's Resolution, PirateFi)에서 유해 소프트웨어가 포함된 사실이 발견되었습니다. PirateFi는 암호화폐 기능이 내장된 Web3 겜으로 설명되었지만, Chemia와 Sniper: Phantom's Resolution은 블록체인 요소가 없는 일반적인 PC 겜이었습니다. 세 타이틀 모두 얼리 액세스로 출시되었으며, 이는 검증되지 않거나 개발 중인 타이틀을 통해 악성코드가 유포되는 것을 막기 위한 Steam의 현재 시스템이 충분한 안전장치를 제공하는지에 대한 우려를 낳고 있습니다.
Sniper: Phantom's Resolution
EncryptHub는 누구인가?
Chemia 사건과 연루된 EncryptHub는 이전에도 유사한 악성코드 조합을 사용하여 대규모 피싱 캠페인을 벌인 바 있습니다. 한 사례에서는 전 세계 600개 이상의 조직이 피해를 입기도 했습니다. Prodaft의 연구에 따르면, 최근 이 조직이 Steam을 배포 플랫폼으로 활용한 것은 기존 기술을 진화시킨 것으로, 신뢰할 수 있는 서비스에 대한 유저들의 믿음을 악용하는 데 초점을 맞추고 있습니다.
보고서는 해당 겜 실행 파일이 Steam에서 직접 다운로드하는 유저들에게는 합법적인 것처럼 보였다고 지적했습니다. 이러한 접근 방식은 전통적인 피싱 방법을 우회하고, 신뢰받는 디지털 스토어프론트를 통한 소셜 엔지니어링에 의존했습니다. 연구진은 무료 겜이나 공개 플레이테스트에 참여하는 유저들이 특히 위험에 노출되어 있다고 강조했습니다. 이들은 악성코드를 무해한 겜의 일부로 믿고 다운로드하여 설치할 가능성이 높기 때문입니다.
EncryptHub
증가하는 겜 분야의 악성코드 공격
비디오 겜을 타겟으로 하는 사이버 보안 위협이 증가하고 있습니다. Statista의 데이터에 따르면 지난 10년간 악성코드 감염은 87% 증가했습니다. 또한 Cybersecurity Ventures는 전 세계 사이버 범죄 피해액이 2025년까지 10.5조 달러에 달할 것으로 추정했는데, 이는 2015년 수치의 3배가 넘는 규모입니다. Steam과 같이 대규모 유저 기반을 보유한 디지털 플랫폼은 유저들의 높은 신뢰도 때문에 빈번한 타겟이 되고 있습니다.
디지털 자산이나 Web3 서비스를 이용하는 유저들은 이러한 경우 특히 취약합니다. 겜이 은밀하게 지갑 키나 로그인 정보를 탈취할 경우, 그 재정적 피해는 즉각적이고 치명적일 수 있습니다. Chemia 사례는 게이밍과 기술에 밝은 유저층을 모두 보유한 플랫폼에서 더욱 강력한 검증 프로세스가 필요함을 시사합니다.
Web3 해킹 사례
권장 사항 및 현재 상태
현재 Chemia는 Steam에서 더 이상 다운로드할 수 없습니다. 그러나 보안 전문가들은 겜 삭제 전에 설치한 유저들의 시스템은 여전히 감염되었을 가능성이 있다고 경고합니다. 해당 유저들은 최신 백신 도구로 컴퓨터를 검사하고, 암호화폐 지갑 및 개인 계정에서 이상 활동이 있는지 모니터링할 것을 권장합니다.
EncryptHub가 어떻게 겜 파일에 접근할 수 있었는지는 아직 밝혀지지 않았습니다. 내부자의 조력이 있었을 가능성도 조사 중이지만, 아직 확인된 바는 없습니다. Aether Forge Studios는 공식 채널이나 소셜 미디어를 통해 어떠한 업데이트나 대응도 내놓지 않고 있습니다.
파일명, 도메인, 파일 동작 등 악성코드와 관련된 전체 기술 지표는 Prodaft의 공식 GitHub 페이지에 게시되었습니다. 해당 겜을 접했을 가능성이 있는 유저와 시스템 관리자는 이 리소스를 참조하여 상세 분석 및 탐지 지원을 받으시기 바랍니다.
