NIKKE PC 런처 침해 사고

1. 공격 요약 2026년 9월 27일부터 Level Infinite가 운영하는 CDN의 공식 JavaScript 파일 4개에 공격자 코드가 삽입된 정황이 확인됐다. NIKKE PC 런처는 해당 파일을 정상 구성 요소로 로드하기 때문에, 변조된 파일을 받은 런처를 실행하면 외부 스크립트를 추가로 불러오고 원격 제어 에이전트를 설치할 수 있었다. 공격자는 감염된 시스템에서 임의 명령 실행, 파일 열람·수집, 모니터 캡처, 브라우저 저장 비밀번호 및 세션 정보 수집, 개발자 도구 자격 증명과 SSH 키·클라우드 토큰·암호화폐 지갑 데이터 수집 등을 수행할 수 있었다. Windows에서는 Chrome 로딩 경로를 악용한 DLL 지속성도 설치할 수 있었다. 핵심 판단 공격 진입점: 게임 자체 실행 파일이 아니라 런처가 신뢰하는 공식 CDN의 JavaScript 자원. 공격 형태: CDN 파일 변조 → 외부 로더 실행 → 페이로드 다운로드 → LuaJIT 기반 원격 제어 에이전트 실행. 영향 범위: Windows뿐 아니라 Linux/Steam Deck에서 Proton으로 런처를 실행한 환경도 영향 가능. 위험도: 런처가 실행된 동안 공격자가 사용자 권한으로 임의 명령을 실행할 수 있어 높음. 복구의 핵심: 런처 캐시 삭제만으로 이미 설치된 지속성이나 유출된 자격 증명이 복구되지는 않는다. 공급망 문제: 공격자가 CDN 버킷 또는 배포 파이프라인에 어떻게 쓰기 권한을 얻었는지는 보고서 기준으로 미확인. 권고: Level Infinite의 공식적인 완전 해결 확인 전에는 런처를 실행하지 않는다. 과거 실행 이력이 있거나 감염 징후가 확인되면 네트워크 격리, 침해 조사, 자격 증명 폐기·재발급을 우선한다. 2. 사고 개요 항목 내용 최초 변조 확인 시점 2026-09-27 악성 에이전트 실행 확인 늦어도 2026-10-23 주요 피해 대상 NIKKE PC 런처 실행 환경 변조된 공식 파일 aegis-fix.min.js, images.7fec4c32.js, FeedList.feb647c9.js, vue-bucket.min.js 외부 로더 도메인 insightjs.com, 대체 도메인 insightjs.org 페이로드 호스트 analytics.insightjs.com 에이전트 유형 난독화된 32-bit LuaJIT 바이트코드 C2 통신 경로 런처 내장 브라우저 및 JavaScript 브리지 Windows 지속성 사용자 레지스트리...