스팀 워크숍 맵이 멀웨어를 심었다…'메카 카멜레온' 디스코드 서버 해킹 사태 전말

플레이어가 이 맵 중 하나를 로딩하면 블루프린트가 자동으로 활성화되면서 명령 프롬프트 창이 잠깐 스쳤습니다. 그 뒤에는 완전한 멀웨어 전달 체인이 작동했습니다 :

• 블루프린트가 사용자의 Documents 폴더에 배치 파일(s.bat)을 생성했습니다 .
• 해당 배치 파일은 실행 정책을 우회한(hidden PowerShell process)을 실행했습니다 .
• PowerShell은 네덜란드에 호스팅된 외부 서버에 접속해 2단계 페이로드를 다운로드하려고 시도했지만, 서버가 404 오류를 반환해 실제로 페이로드는 전달되지 않았습니다 .
• 해당 멀웨어는 개인 파일을 읽고 원격 서버에 업로드하거나 랜섬웨어를 실행하거나 데이터를 삭제할 수 있는 능력을 갖추고 있었습니다 .

감염된 맵은 이후 'Neon Void Arena' 등의 다른 이름으로 재업로드되기도 했습니다 . Feint의 분석에 따르면, 이 악성 맵은 스팀의 워크숍 검토 과정을 무사히 통과했습니다 .

중요한 점: 게임의 실행 파일 자체는 감염되지 않았습니다. 이번 익스플로잇은 워크숍 커스텀 콘텐츠에 한정된 것입니다 .

디스코드 서버 해킹: 연쇄 반응

7월 25일, LEMORION이 워크숍 익스플로잇을 수정한 패치 3.2.0을 배포한 바로 그날, 게임의 공식 디스코드 서버가 해킹당했습니다 .

공격자는 관리자 백업 PC를 통해 접근 권한을 얻었으며, 2FA 보안을 우회한 것으로 알려졌습니다 . 스팀 커뮤니티 보고서에 따르면, 개발자나 서버 소유자가 감염된 워크숍 맵을 다운로드하면서 관리자 자격 증명이 실수로 노출된 것이 원인일 수 있습니다 .

일단 서버에 침투한 해커는 :

• 서버의 채널 구조를 모두 삭제했습니다.
• 정식 스태프 계정을 차단했습니다.
• 기괴하고 위협적인 메시지와 가짜 바이러스 경고를 게시했습니다. 여기에는 게임 업데이트에 원격 접속 트로이 목마(RAT)가 포함됐다는 허위 주장도 있었습니다.
• 커뮤니티를 대상으로 악성 링크를 스팸 발송했습니다.

개발사 LEMORION의 대응

개발사 LEMORION은 피해를 최소화하기 위해 세 가지 측면에서 신속하게 대응했습니다:

1. 패치 3.2.0 (7월 25일): 커스텀 맵이 임의 시스템 명령을 실행할 수 있던 블루프린트 기반 익스플로잇을 차단했습니다 .
2. 콘텐츠 제거: 확인된 두 개의 악성 맵을 스팀 워크숍에서 신고 및 제거했습니다 .
3. 공식 커뮤니케이션: LEMORION은 게임 파일이 손상되지 않았음을 확인하고, RAT 관련 주장은 "100% 거짓"이라고 밝혔으며, 플레이어들에게 해킹된 디스코드의 어떤 링크도 클릭하지 말 것을 촉구했습니다 . 또한 감염된 관리자 PC를 초기화하고 디스코드 지원팀에 서버 통제권을 되찾기 위해 연락했습니다 .

스팀 커뮤니티 반응

'메카 카멜레온' 커뮤니티는 경악과 실망으로 가득 찼습니다. 스팀 포럼과 Reddit에서 플레이어들은 실행 파일이 아닌 커스텀 맵이 멀웨어를 유포할 수 있다는 사실에 충격을 받았으며, 이는 워크숍 콘텐츠가 안전하다는 오랜 믿음에 정면으로 도전하는 사건이었습니다 .

주요 커뮤니티 반응은 다음과 같습니다 :

• 의심스러운 맵을 플레이한 후 바이러스 검사를 통해 감염을 확인한 플레이어들의 보고
• 상황이 해결될 때까지 '메카 카멜레온' 워크숍 맵을 다운로드하지 말라는 경고
• 밸브(Valve)가 워크숍에 대해 더 강력한 콘텐츠 검사 장치를 마련하지 않은 것에 대한 비판

스팀 워크숍 생태계의 광범위한 보안 영향

이번 '메카 카멜레온' 사건은 단일 게임을 넘어 근본적인 보안 허점을 드러냈습니다:

• 블루프린트 수준의 코드 실행: 게임 자체의 스크립팅 시스템이 임의 시스템 명령을 실행하는 데 악용될 수 있다는 사실은 샌드박싱 없이 사용자 생성 스크립트를 허용하는 모든 스팀 게임에 동일한 위험이 적용될 수 있음을 의미합니다 .
• 신뢰의 붕괴: 스팀 워크숍은 오랫동안 반공식적이고 큐레이션된 공간으로 여겨져 왔습니다. 이번 공격은 악의적인 행위자가 밸브의 검열을 우회하여 겉보기에는 합법적인 콘텐츠를 게시할 수 있음을 보여주었습니다 .
• 공식 사이버 보안 경보가 Govly를 통해 발령되었으며, 밸브 코퍼레이션이 현재 신뢰할 수 있는 워크숍 멀웨어 위험에 직면해 있으며 이에 대한 대중의 인식이 부족하다고 지적했습니다 .
• 권장되는 완화 조치로는 워크숍 업로드에 대한 임베디드 시스템 명령 실행 검사, 블루프린트/VScript 환경의 샌드박싱, 플레이어들이 워크숍 콘텐츠를 타사 다운로드와 동일한 주의로 취급하도록 교육하는 것 등이 포함됩니다 .

결론

2026년 7월의 '메카 카멜레온' 사건은 스팀 워크숍 콘텐츠가 게임 자체가 안전하더라도 실행 가능한 멀웨어 전달 경로가 될 수 있음을 증명했습니다. 개발사는 익스플로잇을 패치하기 위해 신속하게 움직였지만, 디스코드 해킹은 단일 시스템 감염이 연쇄적인 결과를 초래할 수 있음을 여실히 보여주었습니다.

7월 15일 이후 'Laser Tag Neon' 또는 'Chroma Grid Arena'를 플레이한 플레이어는 Documents 폴더에 s.bat 파일이 있는지 확인하고 전체 바이러스 백신 검사를 실행하는 것이 좋습니다 . 공식 디스코드 서버가 완전히 복구될 때까지는 해당 서버에 게시된 어떤 링크도 클릭하지 마십시오.