온라인 게임 하다가 해킹당할 수 있다

카운터 스트라이크 취약점 이용한 악성코드 발견

Counter-Strike는 2000년에 발매된 게임인데, 20년 가까이 지난 지금도 적지 않은 사용자를 갖고 있으며 Steam에서 서비스되고 있다. 그러나 업데이트 같은 지원은 중단된 상태다.

그런데 카운터 스트라이크의 클라이언트 앱, 즉 사용자 PC에 설치된 게임 프로그램에 원격 코드 실행이 가능한 취약점이 있고, 실제 이를 이용한 악성코드가 널리 퍼지고 있는 것이 발견됐다. Belonard라는 이 악성코드는 악의적인 게임 서버를 통해 게이머의 PC를 감염시킨다. 악성 서버에 접속하는 것만으로 감염되고, 사용자의 별다른 상호작용은 필요치 않다.

게임 서버를 운영하는 것은 돈이 되는 비즈니스다. 서버에서 추방당하지 않는 특권, 특수 무기 취득 등 비정상적인 권한을 판매하는 것이 그 예다. 그렇기 때문에 게임 서버 운영자는 스스로 하든 광고 서비스를 이용하든, 자신의 서버의 인기와 순위를 높이기 위해 노력한다. 벨로나드 악성코드는 해커 자신과 타인의 게임 서버를 광고하기 위한 봇넷을 형성하기 위한 것이다.

악성 서버에 접속하는 것만으로 감염

벨로나드는 게임 앱에 저장된 서버 리스트를 자신이 광고하는 서버 리스트로 대체한다. 그리고 감염된 PC를 프록시 서버로 만들어 다른 사용자들을 감염시킨다. 원리상 프록시 서버는 낮은 핑을 보이기 때문에, 접속 가능한 서버 목록에서 상위에 놓이게 된다. 따라서 다른 사용자들이 접속할 가능성이 많다. 여기에 접속하면 악성 서버로 리다이렉트 된다.

스팀의 공식 카운터 스트라이크 앱에서 접속할 수 있는 서버는 5천여 개 가량인데, 이중 39%인 1951개가 벨로나드에 감염된 악성 서버이다. 현재 이 botnet은 차단된 상태지만, 카운터 스트라이크 앱이 패치되지 않는 한 새로운 공격이 나타날 수 있다.

이번 사건은 피해자 입장에선 큰 위협은 아니었다. 그러나 원격 코드 실행 취약점이기 때문에, 해커가 마음 먹기에 따라 정보 유출이나 파괴, 금전적인 손실 등 본격적인 피해를 가져올 수도 있었다.

또한 유명 게임 플랫폼의 공식 앱을 이용한 해킹은 아직까지 드문 경우이기 때문에, 게이머들의 경각심이 낮다. 해킹에도 유행이란 게 있기 때문에, 게임 앱의 취약점을 노리는 공격이 늘어날 수도 있다. 결국 게임 앱까지도 보안 업데이트에 신경써야 한다는 것이다.


참고 자료

• Study of the Belonard Trojan, exploiting zero-day vulnerabilities in Counter-Strike 1.6