가짜 PS5 에뮬레이터가 게이머의 비밀번호를 훔치는 데 사용되고 있다

두 개의 잘 알려지고 합법적인 PS5 게임 에뮬레이션 도구로 위장한 악성 GitHub 저장소들이 게이머들의 비밀번호를 훔치는 멀웨어(malware)를 퍼뜨리는 것으로 확인되었습니다. 이 멀웨어는 가짜 회사 이름을 사용하여 생성된 자체 서명 인증서(self-signed certificates)를 사용하며, 멀웨어가 구축된 당일 같은 날짜에 만들어졌다는 점은 해당 멀웨어 캠페인이 자동화되었음을 시사합니다. [NordVPN]의 위협 인텔리전스 리서치 팀이 _Tom's Hardware_와 공유한 보고서에 따르면, 감염 후 단 2분 만에 정리 스크립트(cleanup script)가 영향을 받은 컴퓨터에서 멀웨어 파일을 제거하여, 이전에 존재했다는 흔적을 남기지 않습니다.

이번 캠페인은 PS5 에뮬레이션 커뮤니티 내에서 인기를 얻고 있는 두 프로젝트를 이용하고 있습니다. [AnyPS5]는 PS5 게임이 Windows와 Linux 모두에서 네이티브 애플리케이션(native applications)으로 실행되도록 하는 포터빌리티 레이어(portability layer)이며, [Kyttyps5]는 PC에서 PS5 게임을 구동하기 위한 에뮬레이터입니다. 이 두 프로젝트는 각각의 GitHub 저장소를 통해 자유롭게 다운로드할 수 있습니다. 하지만 이러한 도구로 위장한 악성 저장소 중 하나를 방문하는 사용자들은 Windows 실행 파일(Windows executable)이 포함된 zip 파일을 다운로드하도록 유도됩니다. 주목할 점은, 멀웨어 캠페인의 일부로 사용되는 GitHub 저장소들이 빠르게 순환하며, GitHub가 유일한 출처는 아닐 수 있다는 것입니다.

악성 실행 파일은 숨겨진 애플리케이션을 언팩(unpack)한 다음 자체적인 다단계 로더(multi-stage loader)를 실행합니다. 먼저 PC가 합법적인 기기인지 아니면 보안 연구원의 샌드박스(sandbox)인지를 확인하기 위해 사용 가능한 RAM이 2GB 미만인지, 가상 머신(virtual machine)인지, 클라우드 기반 서버에서 실행되는지, 또는 물리적 GPU가 설치되어 있지 않은지를 검사합니다. 이 기준 중 어느 하나라도 충족되면 로더는 조용히 종료됩니다. 기기가 합법적인 목표물로 판단되면, 악성 코드는 Microsoft Defender에 제외 규칙(exclusion rules)을 추가하여 안티바이러스 스캔 중에 절대 스캔되거나 식별되지 않도록 합니다. 마지막으로 페이로드(payload)가 복호화되고 실행됩니다.

이 페이로드는 상업용 패커(commercial packer)에 의해 보호되는 실행 파일이며, 인포스틸러(infostealer)일 것으로 추정됩니다. 인포스틸러는 비밀번호뿐만 아니라 마주치는 모든 기타 민감한 데이터를 훔치는 역할을 하는 유형의 악성 코드입니다.

이것이 비교적 새로운 악성코드 공격처럼 보이지만, 이를 피할 수 있는 몇 가지 단계가 있습니다. AnyPS5나 Kyttyps5와 같은 도구를 다운로드하려고 한다면, 해당 저장소(repository)가 공식 프로젝트 팀에 속하는지 확인하는 것이 매우 중요합니다. 프로젝트 소유자를 재확인하고, 제3자 목적지를 사용하는 다운로드 링크를 찾으며, 프로젝트 및 파일의 생성 날짜와 같은 메타데이터를 확인하십시오.

만약 의심스러운 악성 다운로드를 접근한 상황에 처했다면, 컴퓨터를 인터넷에서 분리하고 전체 안티바이러스 스캔을 실행하십시오. 또한 가능하다면 별도의 장치에서 비밀번호를 변경하는 것이 권장됩니다.

PS5 에뮬레이션은 2026년 11월 19일에 GTA 6가 출시되면 그 어느 때보다 인기를 얻을 가능성이 높습니다. 이 게임은 출시 시 콘솔 독점작이며, PC 버전은 2027년 초에 도착할 것으로 예상됩니다.

Google Preferred Source