스팀 워크숍 맵이 멀웨어를 심었다…'메카 카멜레온' 디스코드 서버 해킹 사태 전말

이번 사건은 게임 실행 파일 자체의 문제가 아니라 워크숍 측의 취약점이 원인이었으며, 이는 스팀 워크숍 생태계 전체에 대한 광범위한 위협을 드러냈습니다 .

커스텀 맵을 통한 멀웨어 유포 경로

위기는 2026년 7월 24일, 보안 연구원 **Feint(FeintBE)**가 Reddit에 상세한 분석 보고서를 게시하면서 시작됐습니다 . 그는 스팀 워크숍에 등록된 두 개의 커스텀 맵 — 'Laser Tag Neon'(워크숍 ID 3765145606)과 'Chroma Grid Arena' — 게임의 블루프린트(Blueprint) 스크립팅 시스템에 숨겨진 악성 스크립트가 포함되어 있음을 발견했습니다 .

플레이어가 이 맵 중 하나를 로딩하면 블루프린트가 자동으로 활성화되면서 명령 프롬프트 창이 잠깐 스쳤습니다. 그 뒤에는 완전한 멀웨어 전달 체인이 작동했습니다 :

• 블루프린트가 사용자의 Documents 폴더에 배치 파일(s.bat)을 생성했습니다 .
• 해당 배치 파일은 실행 정책을 우회한(hidden PowerShell process)을 실행했습니다 .
• PowerShell은 네덜란드에 호스팅된 외부 서버에 접속해 2단계 페이로드를 다운로드하려고 시도했지만, 서버가 404 오류를 반환해 실제로 페이로드는 전달되지 않았습니다 .
• 해당 멀웨어는 개인 파일을 읽고 원격 서버에 업로드하거나 랜섬웨어를 실행하거나 데이터를 삭제할 수 있는 능력을 갖추고 있었습니다 .

감염된 맵은 이후 'Neon Void Arena' 등의 다른 이름으로 재업로드되기도 했습니다 . Feint의 분석에 따르면, 이 악성 맵은 스팀의 워크숍 검토 과정을 무사히 통과했습니다 .

중요한 점: 게임의 실행 파일 자체는 감염되지 않았습니다. 이번 익스플로잇은 워크숍 커스텀 콘텐츠에 한정된 것입니다 .

디스코드 서버 해킹: 연쇄 반응

7월 25일, LEMORION이 워크숍 익스플로잇을 수정한 패치 3.2.0을 배포한 바로 그날, 게임의 공식 디스코드 서버가 해킹당했습니다 .

공격자는 관리자 백업 PC를 통해 접근 권한을 얻었으며, 2FA 보안을 우회한 것으로 알려졌습니다 . 스팀 커뮤니티 보고서에 따르면, 개발자나 서버 소유자가 감염된 워크숍 맵을 다운로드하면서 관리자 자격 증명이 실수로 노출된 것이 원인일 수 있습니다 .

일단 서버에 침투한 해커는 :

• 서버의 채널 구조를 모두 삭제했습니다.
• 정식 스태프 계정을 차단했습니다.
• 기괴하고 위협적인 메시지와 가짜 바이러스 경고를 게시했습니다. 여기에는 게임 업데이트에 원격 접속 트로이 목마(RAT)가 포함됐다는 허위 주장도 있었습니다.
• 커뮤니티를 대상으로 악성 링크를 스팸 발송했습니다.

개발사 LEMORION의 대응

개발사 LEMORION은 피해를 최소화하기 위해 세 가지 측면에서 신속하게 대응했습니다:

1. 패치 3.2.0 (7월 25일): 커스텀 맵이 임의 시스템 명령을 실행할 수 있던 블루프린트 기반 익스플로잇을 차단했습니다 .
2. 콘텐츠 제거: 확인된 두 개의 악성 맵을 스팀 워크숍에서 신고 및 제거했습니다 .
3. 공식 커뮤니케이션: LEMORION은 게임 파일이 손상되지 않았음을 확인하고, RAT 관련 주장은 "100% 거짓"이라고 밝혔으며, 플레이어들에게 해킹된 디스코드의 어떤 링크도 클릭하지 말 것을 촉구했습니다 . 또한 감염된 관리자 PC를 초기화하고 디스코드 지원팀에 서버 통제권을 되찾기 위해 연락했습니다 .

스팀 커뮤니티 반응

'메카 카멜레온' 커뮤니티는 경악과 실망으로 가득 찼습니다. 스팀 포럼과 Reddit에서 플레이어들은 실행 파일이 아닌 커스텀 맵이 멀웨어를 유포할 수 있다는 사실에 충격을 받았으며, 이는 워크숍 콘텐츠가 안전하다는 오랜 믿음에 정면으로 도전하는 사건이었습니다 .

주요 커뮤니티 반응은 다음과 같습니다 :

• 의심스러운 맵을 플레이한 후 바이러스 검사를 통해 감염을 확인한 플레이어들의 보고
• 상황이 해결될 때까지 '메카 카멜레온' 워크숍 맵을 다운로드하지 말라는 경고
• 밸브(Valve)가 워크숍에 대해 더 강력한 콘텐츠 검사 장치를 마련하지 않은 것에 대한 비판

스팀 워크숍 생태계의 광범위한 보안 영향

이번 '메카 카멜레온' 사건은 단일 게임을 넘어 근본적인 보안 허점을 드러냈습니다:

• 블루프린트 수준의 코드 실행: 게임 자체의 스크립팅 시스템이 임의 시스템 명령을 실행하는 데 악용될 수 있다는 사실은 샌드박싱 없이 사용자 생성 스크립트를 허용하는 모든 스팀 게임에 동일한 위험이 적용될 수 있음을 의미합니다 .
• 신뢰의 붕괴: 스팀 워크숍은 오랫동안 반공식적이고 큐레이션된 공간으로 여겨져 왔습니다. 이번 공격은 악의적인 행위자가 밸브의 검열을 우회하여 겉보기에는 합법적인 콘텐츠를 게시할 수 있음을 보여주었습니다 .
• 공식 사이버 보안 경보가 Govly를 통해 발령되었으며, 밸브 코퍼레이션이 현재 신뢰할 수 있는 워크숍 멀웨어 위험에 직면해 있으며 이에 대한 대중의 인식이 부족하다고 지적했습니다 .
• 권장되는 완화 조치로는 워크숍 업로드에 대한 임베디드 시스템 명령 실행 검사, 블루프린트/VScript 환경의 샌드박싱, 플레이어들이 워크숍 콘텐츠를 타사 다운로드와 동일한 주의로 취급하도록 교육하는 것 등이 포함됩니다 .

결론

2026년 7월의 '메카 카멜레온' 사건은 스팀 워크숍 콘텐츠가 게임 자체가 안전하더라도 실행 가능한 멀웨어 전달 경로가 될 수 있음을 증명했습니다. 개발사는 익스플로잇을 패치하기 위해 신속하게 움직였지만, 디스코드 해킹은 단일 시스템 감염이 연쇄적인 결과를 초래할 수 있음을 여실히 보여주었습니다.

7월 15일 이후 'Laser Tag Neon' 또는 'Chroma Grid Arena'를 플레이한 플레이어는 Documents 폴더에 s.bat 파일이 있는지 확인하고 전체 바이러스 백신 검사를 실행하는 것이 좋습니다 . 공식 디스코드 서버가 완전히 복구될 때까지는 해당 서버에 게시된 어떤 링크도 클릭하지 마십시오.