스팀 포럼 '수리 명령어' 붙여넣으면 채굴 악성코드 감염 — 점검·제거법

-

스팀 포럼 ‘수리 명령어’ 붙여넣으면 채굴 악성코드 감염 — 점검·제거법

신고·확인 경로는 제가 직접 접속해 확인했고, 공격 원리는 블리핑컴퓨터를 포함한 복수 보안 매체의 분석을 정리한 것입니다. 보안(YMYL) 주제라 여러 매체가 일치하게 확인한 사실과, 공격자가 언제든 바꿀 수 있는 가변 정보를 구분해 적었습니다.

게임이 자꾸 튕겨서 스팀 커뮤니티에 글을 올렸더니, 친절한 답글이 “이 명령어 한 줄이면 고쳐진다”며 파워셸(PowerShell) 명령을 건넵니다. 그대로 붙여넣는 순간, 그 PC는 남의 돈을 벌어주는 채굴기가 됩니다.

결론부터 말하면, 관리자 권한 파워셸에 모르는 사람이 준 명령을 붙여넣지 마세요. 이미 했다면 아래 세 가지로 이번 캠페인에서 알려진 흔적이 있는지 몇 분 안에 확인할 수 있습니다. 다만 흔적이 없다고 해서 안전하다고 단정할 수는 없습니다. 이 글은 영문 보도에 없던 읽기 전용 점검 명령과 한국 신고 경로를 더했습니다.

ClickFix 공격 흐름 도식
ClickFix 공격 흐름 도식

지금 스팀 포럼에서 벌어지는 일

공격자는 임의로 만든 스팀 계정으로 “게임이 튕겨요”, “인벤토리 아이템이 사라졌어요” 같은 도움 요청 글에 수리법인 척 답글을 답니다. 이렇게 “문제를 겪는 사람이 해결책을 찾는 심리”를 노려 스스로 명령을 실행하게 만드는 수법을 클릭픽스(ClickFix) 라고 부릅니다. 문자로 시작하는 스미싱이나 음성통화 기반 보이스피싱이 아니라, 포럼 게시글을 이용한 사회공학이라 용어를 구분합니다.

이 캠페인은 블리핑컴퓨터가 처음 보도했고, SC 매거진과 유럽권 보안 매체(secnews·cyberveille 등)가 같은 침해지표(IOC)로 다시 확인했습니다. 배포 도메인 msfconfig[.]icu는 바이러스토탈(VirusTotal)에서 다수 백신이 악성으로 판정한 것으로 외부 검증됐습니다. 즉 단일 매체의 주장이 아니라 복수 출처가 일치하는 사안입니다.

붙여넣으면 PC에서 실제로 벌어지는 일

건네받는 명령은 msf utility \ PC Opt라는, 윈도우 최적화 도구를 사칭한 이름으로 위장합니다. 청소를 하는 척 가짜 작업을 보여주면서, 뒤에서는 다음을 순서대로 실행합니다.

먼저 TLS 인증서 검증을 끄고, 마이크로소프트 디펜더의 검사 제외 목록에 C:\Windows\Background 폴더를 등록합니다. 그다음 방화벽에 msfconfig[.]icu 443 포트로 나가는 규칙을 열고, 여기서 채굴기 파일을 내려받아 C:\Windows\Background\system.exe로 저장합니다. 마지막으로 XMRig-[컴퓨터이름]이라는 예약 작업을 만들어, 부팅할 때마다 최고 권한(SYSTEM)으로 채굴기를 실행합니다.

깔리는 것은 오픈소스 채굴기 XMRig로, 모네로(XMR)를 몰래 캡니다. 증상은 CPU 사용률 급등, 발열, 전기요금 증가, 전반적 성능 저하입니다.

여기서 확정과 가변을 나눠야 합니다. 위의 도메인·파일명·폴더 경로·작업 이름은 이번 캠페인에서 여러 매체가 일치하게 보고한 값입니다. 다만 공격자는 이 문자열들을 언제든 바꿀 수 있으므로, “이 경로만 없으면 안전”이라고 단정하면 안 됩니다. 흔적이 없어도 행동 패턴(모르는 명령을 관리자 권한으로 실행)이 있었다면 의심하세요.

단계 실제 동작 PC에 남는 흔적
1. 위장 'msf utility \ PC Opt' 최적화 도구 사칭, 가짜 청소 화면 겉보기 정상 (사용자 안심용)
2. 방어 무력화 TLS 인증서 검증 해제, 디펜더 검사 제외 등록 디펜더 제외 목록에 C:\Windows\Background
3. 내려받기 방화벽에 443 아웃바운드 허용, msfconfig[.]icu에서 payload 수신 C:\Windows\Background\system.exe 생성
4. 지속 실행 예약 작업으로 부팅마다 SYSTEM 권한 실행 XMRig-[컴퓨터이름] 예약 작업
5. 채굴 XMRig가 모네로 채굴 CPU 급등·발열·전기요금·성능 저하
감염 단계와 PC에 남는 흔적

내 PC가 감염됐는지 확인하는 법 (읽기 전용)

아래 명령은 모두 읽기 전용입니다. 무언가를 바꾸지 않고 “있는지 없는지”만 확인하므로 안심하고 실행해도 됩니다. 관리자 권한 파워셸에서 한 줄씩 넣어 보세요.

  1. 의심 폴더 확인 — Test-Path C:\Windows\Background 결과가 True로 나오면 이 폴더가 존재한다는 뜻이니 의심 신호입니다.
  2. 예약 작업 확인 — Get-ScheduledTask | ? {$_.TaskName -like "XMRig-*"} XMRig-로 시작하는 작업이 나오면 채굴기 지속 실행 장치입니다.
  3. 디펜더 제외 목록 확인 — Get-MpPreference | Select -Expand ExclusionPath 목록에 C:\Windows\Background가 보이면, 백신이 그 폴더를 일부러 안 보게 해둔 것입니다.

명령이 부담되면 화면으로도 확인할 수 있습니다. 작업 스케줄러를 열어 XMRig-로 시작하는 작업이 있는지 보고, Windows 보안 → 바이러스 및 위협 방지 → 설정 관리 → 제외 항목에서 위 폴더 경로가 등록돼 있는지 확인하면 됩니다.

감염이 확인됐다면 — 제거 순서

반드시 순서대로 진행하세요.

첫째, 백신으로 전체 검사를 돌립니다(윈도우 기본 디펜더도 됩니다). 잡히면 지시대로 제거하고 재부팅합니다.

둘째, 백신이 못 잡으면 수동으로 지웁니다. 작업 스케줄러에서 XMRig-[컴퓨터이름] 작업을 삭제하고, 디펜더 제외 목록에서 C:\Windows\Background를 제거한 뒤, 그 폴더를 통째로 삭제합니다. “파일이 사용 중”이라 안 지워지면 재부팅 후 다시 시도하세요. 다만 수동으로 지웠다고 해서 그것만으로 완전히 제거됐다고 보지는 마세요. 백신의 오프라인 검사(부팅 시 검사)를 한 번 더 돌리고, 판단이 서지 않으면 보호나라 118에 상담한 뒤 다음 단계를 정하는 편이 안전합니다.

셋째, 그래도 찜찜하면 운영체제 재설치가 가장 안전합니다. 채굴기 외에 다른 악성 행위를 했는지 확인할 방법이 없기 때문입니다.

넷째, 이 PC에 저장·입력했던 스팀·이메일·금융 계정 비밀번호는 다른 깨끗한 기기에서 바꾸세요.

ClickFix 사기 댓글을 거르는 3가지 신호

첫째, 파워셸이나 명령 프롬프트를 관리자 권한으로 열라고 하면 일단 멈추세요. 정상적인 게임 오류 해결은 대개 그럴 필요가 없습니다.

둘째, “이 한 줄이면 해결된다”며 통째로 붙여넣을 명령을 주면, 출처가 누구든 실행하지 마세요. 무슨 일을 하는지 읽어도 모르는 명령이면 더욱 그렇습니다.

셋째, 스팀 공식 지원은 포럼 답글로 파워셸 명령을 주지 않습니다. 실제 문제는 스팀 공식 고객지원(help.steampowered.com) 으로 접수하세요.

어디에 신고하나 (한국 경로)

악성코드 감염과 침해사고는 한국인터넷진흥원(KISA)이 창구입니다. 제가 보호나라(boho.or.kr) 첫 화면에서 침해사고 신고 항목과 118 상담 번호를 직접 확인했습니다. 전화 상담은 국번 없이 118입니다.

보호나라 첫 화면에서 침해사고 신고 항목과 118 상담 번호가 보이는 화면
보호나라 첫 화면에서 침해사고 신고 항목과 118 상담 번호가 보이는 화면

범죄 피해로 신고하려면 경찰을 통합니다. 제가 경찰청 사이버범죄 신고시스템(ecrm.police.go.kr)에 접속해 신고 접수 메뉴가 열려 있는 것을 확인했습니다. 긴급하면 112입니다.




경찰청 사이버범죄 신고시스템 ECRM 첫 화면에서 신고 접수 메뉴가 열려 있는 화면
경찰청 사이버범죄 신고시스템 ECRM 첫 화면에서 신고 접수 메뉴가 열려 있는 화면

만약 이 PC에서 계정·금융 정보가 함께 샜을 정황이 있다면, 악성코드를 지우는 것으로 끝내지 마세요. 그다음에 계정과 금융 쪽에서 밟아야 할 순서는 사건 종류와 상관없이 같아서 따로 한 편에 모아 두었습니다 — 개인정보 유출·피싱을 당했을 때 공통 대응 5단계를 그대로 따라가시면 됩니다.

자주 묻는 질문

채굴 악성코드는 내 파일도 훔치나요?

XMRig 자체는 CPU로 코인을 캐는 채굴기라 파일 탈취가 주목적은 아닙니다. 다만 이 명령은 최고 권한으로 실행되고 다른 것을 함께 내려받았을 수 있어, 감염 시 계정·금융정보 유출 가능성을 배제할 수 없습니다. 그래서 비밀번호 변경을 함께 권합니다.

백신이 아무것도 안 잡는데 안전한가요?

공격 스크립트가 디펜더 검사 제외를 걸어두기 때문에 백신이 못 볼 수 있습니다. 그래서 위의 읽기 전용 명령으로 폴더·예약작업·제외목록을 함께 확인하는 편이 낫습니다. 다만 이 명령들은 이번 캠페인에서 알려진 흔적을 보는 것이라, 아무것도 나오지 않았다고 해서 감염 가능성이 완전히 사라지는 것은 아닙니다.

맥이나 리눅스도 위험한가요?

이 캠페인의 명령은 윈도우 파워셸을 대상으로 합니다. 맥·리눅스에서는 그대로 실행되지 않지만, “모르는 사람이 준 명령을 붙여넣지 않는다”는 원칙은 운영체제와 무관하게 같습니다.

결론

핵심은 하나입니다. 포럼에서 만난 낯선 사람이 준 명령을 관리자 권한으로 붙여넣지 마세요. 이미 실행했다면 오늘 소개한 세 가지 읽기 전용 명령으로 확인하고, 흔적이 있으면 제거 순서를 따른 뒤 비밀번호를 바꾸세요. 확신이 안 서면 보호나라(118)에 문의하는 것이 가장 빠릅니다.

함께 보면 좋은 글

같은 주제의 글은 기기·브라우저·확장 프로그램 보안에 모아두었습니다.

참고 출처