공급망 공격 한국어

니케 런처 변조 의혹, AI 도구 인증 정보 노린 트로이목마

Cocoloop 편집팀 · 검증된 공개 자료 기반 현지화

플레이어와 독립 연구자들이 승리의 여신: 니케 PC 런처가 불러오는 공식 CDN 파일이 변조된 사실을 발견했다. 11월 3일 GitHub에 공개된 분석 보고서는 심어진 로더가 원격 제어 트로이목마를 내려받아 실행한다고 밝혔으며, 해당 PC는 완전히 침해된 것으로 간주해야 한다고 했다.

InvenGlobal 보도 시점까지 개발사 시프트업과 퍼블리셔 레벨 인피니트는 공개적으로 입장을 내놓지 않았다. 아래의 시점은 모두 외부 분석에서 나온 것으로, 대조할 수 있는 공식 발표는 없다.

Illustration: a hook from a conveyor parcel steals keys, symbolizing credential theft through a supply-chain attack

타임라인과 엇갈리는 두 대목

InvenGlobal이 정리한 타임라인은 다음과 같다. 9월 27일 공격자의 코드가 CDN의 공식 JavaScript 파일 세 개에 들어갔고, 이 파일들은 런처를 열 때 로드된다. 10월 28일에는 세 번째 파일이 원본에서 정리됐다. 늦어도 11월 1일부터는 런처를 열면 원격 제어 프로그램을 내려받아 실행할 수 있었지만, 매번 작동한 것은 아니다. 11월 3일 GMT 17시 04분과 17시 21분에 파일 두 개가 교체됐고, 18시 31분에 공격자 서버가 응답을 멈췄으며, 18시 59분에도 CDN 노드 두 곳이 변조된 사본을 제공하고 있었다.

GitHub 보고서의 설명은 이와 조금 다르다. 보고서가 언급한 공식 자산은 네 개이고, 확인된 것은 FeedList와 vue-bucket 두 개다. 11월 4일 재확인 때는 네 개 모두 깨끗한 버전으로 돌아와 있었다고 한다. 보고서에서 9월 27일은 약 5년간 방치됐던 제어용 도메인 insightjs.com이 다시 등록된 날이다. 또 로더가 자리 잡은 뒤 페이로드가 실행되기까지 약 37일이 걸렸다고 지적했는데, 그동안 런처를 연 플레이어는 이상 징후를 알아채지 못했을 수 있다.

게임 트로이목마가 왜 Claude Code 설정을 노리나

보고서에 따르면 이 트로이목마는 명령 19개를 갖고 있으며, 임의 명령 실행, 대화형 셸, 파일 전송, 화면 캡처, 인증 정보 수집을 포괄한다. 수집 경로는 약 1,790개이고, 지목된 AI·개발 도구에는 Claude Code, Gemini CLI, Cursor, Windsurf, MCP 설정이 포함된다. 그 밖에 AI 서비스 업체의 API 키와 OAuth 토큰, 클라우드 키, 패키지 저장소 토큰, CI와 Kubernetes 인증 정보, SSH·GPG 키, 브라우저 세션, 암호화폐 지갑 확장 프로그램 28종의 데이터도 노린다.

이 목록은 지난달 LiteLLM 오염 사건과 매우 비슷하다. 10월 21일 변조된 LiteLLM 1.107.0이 PyPI에 올라왔고, 이 정보 탈취 프로그램도 브라우저 인증 정보와 클라우드 키를 노렸다. Wiz는 공격자가 몇 시간 뒤부터 훔친 AWS 인증 정보를 검증하기 시작했다고 공개했다. 두 사건의 침투 경로는 크게 다르다. 하나는 개발자의 의존성 패키지, 다른 하나는 플레이어의 게임 런처다. 그런데도 노리는 것은 상당 부분 겹친다. 개발자의 로컬 설정 파일에는 평문 키가 들어 있는 경우가 많고, 이 키는 곧바로 컴퓨팅 크레딧과 클라우드 자원으로 바꿀 수 있다. LiteLLM 사건에서도 공격자는 인증 정보를 검증한 뒤 Bedrock의 모델 목록을 조회했다.

보고서는 확인되지 않은 사항을 분명히 적었다. 공격자가 CDN 쓰기 권한을 어떻게 얻었는지, 실제 감염 규모, 같은 기간 다른 자산도 오염됐는지가 그것이다. 작성자는 악성 2단계 스크립트를 독자적으로 복원하지 못했고, 코드 속 K2F 브랜드와 인증서 정보는 배후를 가리는 근거로 쓸 수 없다고도 밝혔다. 이번 사건이 LiteLLM 사건과 관련이 있다는 증거는 현재 전혀 없다.

자가 점검과 대응

PC 버전을 플레이한 사용자는 다음과 같이 확인할 수 있다.

  1. 니케 설치 폴더의 Launcher/intl_service에 있는 debug.log를 열어 k2f_chan을 검색한다. 이 문자열이 나오면 원격 제어 프로그램이 실행됐을 가능성이 있다.
  2. 공식 수정이 확인될 때까지 PC 런처를 실행하지 않는다. 다시 사용하기 전에는 캐시를 지운다.
  3. 흔적이 발견되면 먼저 해당 PC를 격리하고 증거를 보존한 뒤, 깨끗한 기기에서 비밀번호를 바꾸고 모든 세션을 로그아웃하며 API 토큰과 SSH 키를 폐기한다.
  4. 지갑의 시드 문구는 교체로 해결할 수 없다. 새 지갑을 만들어 자산을 옮겨야 한다.

보고서는 이 트로이목마가 로더를 스스로 다시 설치할 수 있어 파일 해시만으로 판단하면 믿을 수 없다고 경고했다. Chrome 디렉터리 전체를 그대로 삭제하지 말라는 당부도 덧붙였다.

참고 출처: GitHub 독립 분석 보고서, InvenGlobal, CocoLoop. 오염된 파일 수는 두 출처의 설명이 다르며, 감염 규모와 공격 경로는 모두 확인되지 않았고 업체의 공식 답변은 아직 없다.