아직 나오지도 않은 게임을 깔아 주겠다는 설치 기사 — GTA 6

현관 벨이 울립니다. 문을 열어 보니 사람 키만 한 상자가 서 있습니다. 작업복을 입은 기사가 말합니다. “주문하신 거 설치해 드리러 왔습니다.” 주문한 기억은 없지만 갖고 싶던 물건입니다. 그래서 문을 열어 줍니다.

기사는 거실 한복판에서 한참을 부스럭거립니다. 알아듣기 힘든 말로 뭔가 설명하더니, 마지막에 이렇게 말합니다. “죄송합니다, 정품 인증이 안 되네요. 오늘은 설치가 안 됩니다.” 그리고 상자를 남겨 두고 떠납니다. 상자를 열어 보니 안은 거의 다 스티로폼입니다.

“아, 안 되는구나.” 여기서 이야기가 끝나면 좋겠지만, 진짜 이야기는 기사가 떠난 뒤에 시작됩니다. 기사가 거실에 있던 그 몇 분 동안 집 열쇠는 복사됐고, 천장에는 작은 카메라가 달렸고, 앨범 속 사진은 다른 종이로 바꿔치기됐습니다.

이번 주 보안 업체가 분석해 내놓은 사건은 이 장면과 구조가 똑같습니다. 다른 점은 하나뿐입니다. 그 기사가 설치해 주겠다던 물건은 아직 세상에 나오지도 않은 게임이었습니다.

---

먼저, 내 쪽에서 벌어지는 일

GTA 6가 나오기를 기다리는 사람이 검색창에 ’유출본’이나 ’선행 플레이’를 칩니다. 검색 결과 위쪽이나 게임 커뮤니티 글에 링크가 보입니다. 누르면 100GB가 넘는 이미지 파일을 받게 됩니다. 이미지 파일이란 디스크 한 장을 통째로 복사해 놓은 큰 파일입니다. 밤새 받아야 하는 크기입니다.

다 받아서 열면 안에 설치 파일이 있습니다. 실행합니다. 러시아어로 된 안내창이 뜹니다. 몇 단계를 넘기면 마지막에 ’라이선스를 찾을 수 없다’는 오류가 뜨고 끝납니다. 게임은 켜지지 않습니다. “크랙이 안 먹네” 하고 창을 닫습니다.

사실 분석 업체 Huntress에 따르면 이 오류창은 실패 표시가 아닙니다. 사용자가 설치가 안 됐다고 여기는 그 사이에 악성 프로그램은 이미 설치를 끝냈습니다. 기사가 “오늘은 안 되겠네요” 하고 나간 뒤에 열쇠 복사본이 남아 있는 것과 같습니다.

사실 한 번에 깔리는 것은 네 종류입니다. 원격조종 트로이목마 NJRAT(여러 개)과 DCRAT, 정보탈취 프로그램 Mercurial Grabber, 그리고 파괴 목적으로 쓰인 Chaos 랜섬웨어입니다. 덤으로 사용자가 설치한 적 없는 얀덱스 브라우저까지 생깁니다. 트로이목마는 쓸모 있는 프로그램인 척 들어와서 안에서 다른 일을 하는 프로그램을 부르는 말입니다.

사실 원격조종 트로이목마가 할 수 있는 일을 보안뉴스가 정리했습니다. 키보드로 친 글자 기록, 웹캠 켜기, 화면 캡처, 복사·붙여넣기한 내용 가로채기, PC 원격 제어입니다. 천장에 달린 카메라가 이겁니다. 내가 자판을 두드리는 걸 옆에서 보고 있는 셈입니다.

사실 정보탈취 프로그램은 가져갈 것을 골라서 가져갑니다. 브라우저에 저장해 둔 비밀번호, 디스코드 토큰, 암호화폐 지갑 정보, 스크린샷, 윈도우 제품 키, 마인크래프트 세션 정보입니다. 디스코드 토큰은 비밀번호 없이도 내 계정으로 바로 들어갈 수 있는 출입증 같은 것입니다. 복사된 집 열쇠가 이겁니다.

사실 그리고 랜섬웨어입니다. 랜섬웨어는 보통 파일을 잠그고 돈을 요구하는 프로그램입니다. 그런데 이번 건은 다릅니다. 200MB보다 작은 파일은 암호화하고, 그보다 큰 파일은 무작위 데이터로 덮어써 버립니다. 덮어쓴 파일은 돈을 내도 돌아오지 않습니다. 애초에 돌려줄 장치가 없습니다. 그래서 분석 업체는 이걸 사실상 파괴형, 와이퍼라고 부릅니다. 앨범 속 사진이 다른 종이로 바뀌어 있는 것, 그게 이 부분입니다.

사실 관리자 권한으로 실행됐다면 한 단계가 더 붙습니다. 파일을 부수기 전에 윈도우의 섀도 복사본을 지우고 복구 기능을 꺼 버립니다. 섀도 복사본은 윈도우가 만일을 대비해 몰래 떠 두는 파일 사본입니다. 관리자 권한은 집 열쇠 중에서도 모든 방을 여는 마스터키입니다. 그걸 넘겨줬으면 기사는 CCTV 녹화본까지 지우고 나갑니다.

왜 통하나 — 문을 열어 주는 쪽이 나라서

사실 이 수법에는 취약점이 없습니다. 브리프에 CVE 번호가 하나도 없습니다. CVE는 소프트웨어의 알려진 보안 구멍에 붙는 번호입니다. 구멍을 뚫고 들어온 게 아닙니다. 내가 받아서, 내가 실행했습니다. 기사가 문을 부수고 들어온 게 아니라 내가 문을 열어 줬습니다.

사실 크기가 의심을 무디게 합니다. 파일이 100GB를 넘는데 그 대부분은 진짜 대작 게임처럼 보이려고 채워 넣은 쓸모없는 데이터입니다. 실제 악성 부분은 훨씬 작습니다. 상자가 사람 키만 하고 안이 스티로폼인 이유입니다.

추정 밤새 받았다는 사실 자체가 함정이 됩니다. 시간을 들인 만큼 “이게 가짜일 리 없다”는 마음이 커집니다. 다 받아 놓고 실행을 안 하기는 어렵습니다. 크기는 진짜라는 증거가 아니라 그냥 숫자입니다.

추정 오류창도 계산된 것으로 보입니다. 설치가 잘 됐다는 창이 떴다면 사람은 게임을 켜 보려 하고, 안 켜지면 뭔가 이상하다고 느낍니다. 그런데 처음부터 ’라이선스 없음’이라고 하면 “크랙이 안 되는구나” 하고 스스로 납득합니다. 화를 낼 대상도 없습니다. 실패한 설치 기사는 아무도 신고하지 않습니다.

사실 그리고 가장 중요한 사실입니다. 공식 데모는 없습니다. 실제로 유출된, 플레이할 수 있는 사본이 온라인에 돌고 있다는 징후도 없습니다. 아직 출시되지 않은 물건을 집까지 가져와 설치해 주겠다는 기사는, 그 사실 하나만으로 가짜입니다.

숫자로 본 크기

이번 건에서 확인된 숫자는 네 개뿐입니다. 피해자 수는 어디에도 없습니다. 셋째 칸을 같이 봐 주세요. 확인된 것과 보도에만 있는 것이 섞여 있습니다.

사실 100GB는 웬만한 노트북 저장 공간의 큰 덩어리를 차지하는 크기입니다. 그런데 그 무게의 대부분이 스티로폼입니다. 크기와 진짜 여부는 아무 관계가 없습니다.

사실 4종은 “하나만 막으면 된다”가 통하지 않는다는 뜻입니다. 원격조종, 비밀번호 탈취, 파일 파괴가 동시에 시작됩니다. 열쇠만 챙기면 카메라가 남고, 카메라만 떼면 앨범이 이미 바뀌어 있습니다.

사실 200MB는 생각보다 작은 문턱입니다. 스마트폰으로 찍은 영상 하나, 게임 저장 파일, 사진 백업 묶음은 대부분 이 선을 넘습니다. 넘는 순간 잠그는 게 아니라 부숩니다.

추정 0개가 이 글의 결론입니다. 진짜가 하나도 없는데 ’유출본’은 계속 돕니다. 그러면 지금 돌고 있는 ’유출본’이 무엇인지는 계산할 필요가 없습니다.

사실 표의 마지막 줄은 이번 사건과 별개입니다. 8월에 카스퍼스키가 113GB짜리 가짜 GTA 6 유출본을 보고했다고 데일리시큐가 전했습니다. 이 글에서 다루는 Huntress 분석과는 다른 파일입니다. 같은 미끼가 다른 악성 프로그램을 싣고 반복해서 돈다는 것까지만 여기서 말할 수 있습니다.

그래서 지금 할 일

할 일은 받기 전과 받은 뒤로 나뉩니다.

하나. 출시 전에 도는 ‘유출본·데모·선행 플레이’ 파일은 받지 않는다.

이건 판단이 필요한 일이 아닙니다. 진짜가 확인된 게 0개입니다. 그러니 ’유출본’이라는 이름이 붙은 순간 가짜입니다. 검색 결과 맨 위에 있어도, 커뮤니티에서 여러 명이 추천해도, 100GB가 넘어도 마찬가지입니다. 아직 나오지도 않은 물건을 설치해 주겠다는 기사는 문 앞에서 돌려보내면 됩니다.

둘. 이미 실행했다면, 순서대로 한다.

먼저 그 PC의 인터넷을 끊습니다. 랜선을 뽑거나 와이파이를 끕니다. 원격조종은 인터넷이 있어야 이어집니다.

그다음 다른 기기에서 비밀번호를 바꿉니다. 브라우저에 저장해 뒀던 비밀번호, 디스코드, 게임 계정이 우선입니다. 감염된 PC에서 바꾸면 안 됩니다. 키보드 입력을 보고 있는 프로그램 앞에서 새 비밀번호를 치는 셈이니까요.

비밀번호를 바꾼 계정에는 2단계 인증을 켭니다. 2단계 인증은 비밀번호 말고 휴대폰 같은 두 번째 확인을 하나 더 거치게 하는 장치입니다. 열쇠가 복사됐어도 두 번째 잠금이 있으면 문이 바로 열리지 않습니다.

마지막으로 PC를 초기화합니다. 분석 업체의 권고는 완전 재설치입니다. 네 종류가 한꺼번에 깔린 PC에서 하나씩 찾아 지우는 건 현실적이지 않습니다.

사실 이런 신호가 있으면 이미 실행한 것으로 봐야 합니다. 설치 중 러시아어 안내창이 떴다. 설치 후 ‘라이선스 없음’ 오류만 나고 게임이 켜지지 않았다. 설치한 적 없는 얀덱스 브라우저가 생겼다. 사진이나 영상 같은 큰 파일이 갑자기 열리지 않는다.

사실 최신 상태의 윈도우 디펜더가 이 악성 프로그램을 잡아낼 수 있다고 Help Net Security가 보도했습니다. 이 대목은 보도에만 있습니다.

추정 그러니 “디펜더가 막아 주겠지” 하고 받아 보는 건 순서가 틀렸습니다. 백신은 문 안에 들어온 기사를 붙잡는 장치이지, 문을 열어 줘도 된다는 허가증이 아닙니다. 첫 번째 할 일, 받지 않는 것이 여전히 전부입니다.

우리가 모르는 것

이 블로그는 확인되지 않은 걸 확인된 것처럼 쓰지 않습니다. 이번 건에서 아직 모르는 것들입니다.

• 한국에서 피해자가 있는지 모릅니다. 어느 보도에도 국내 피해 사례나 피해자 수가 없습니다. 그래서 이 글에는 피해 규모를 적지 않았습니다.
• 누가 만들었는지 모릅니다. 러시아어 안내창과 얀덱스 브라우저 때문에 러시아어권 사용자를 겨냥했을 가능성이 제기됐을 뿐입니다. 조직도 국적도 확인되지 않았습니다. 이 글은 공격 주체를 특정하지 않습니다.
• GTA 6의 정확한 출시일을 이 글에서 확인하지 않았습니다. Help Net Security는 출시까지 석 달쯤 남았다고만 썼습니다.
• 맥이나 스마트폰에도 같은 위험이 있는지 모릅니다. 분석된 것은 윈도우 PC용 실행 파일뿐입니다. 다른 기기에도 그렇다고 말할 근거가 없습니다.
• 국내 커뮤니티나 토렌트에서 이 파일이 실제로 도는지 확인하지 못했습니다. 유포 경로는 Huntress가 관측한 것을 옮긴 것입니다.

출처

1차 출처부터 적습니다.

• Huntress, “Grand Theft Auto VI hype leads to malware” (2026-09-09) — https://www.huntress.com/blog/fake-gta6-download-malware-analysis
• Help Net Security, “Fake GTA 6 download delivers malware-packed bundle to impatient gamers” (2026-09-10) — https://www.helpnetsecurity.com/2026/09/10/fake-gta-6-downloads-malware-ransomware/
• 보안뉴스, “GTA 6 유출본 미끼로 악성코드 4종 한꺼번에 감염시키는 공격 발견” (2026-09-11) — https://www.boannews.com/news/articleView.html?idxno=145794
• 디일렉, “게임 ‘GTA 6’ 위장 트로이목마 악성코드 글로벌 확산” (발행일 미확인) — https://www.thelec.kr/news/articleView.html?idxno=57822
• 데일리시큐, 8월 카스퍼스키 보고(113GB 가짜 유출본) 관련 보도 — https://www.dailysecu.com/news/articleView.html?idxno=208184

---

이 글은 우리 허니팟 관측이 아니라 남의 취재를 재료로 씁니다. 그래서 공격 타임라인·MITRE·IOC 블록이 없습니다 — 없는 자료를 만들어 넣지 않습니다. 수치는 1차 분석 자료(Huntress, 2026-09-09)에 있는 것만 썼고, 1차 자료에 없이 보도에만 있는 내용(윈도우 디펜더 탐지, 8월 113GB 사례)은 본문에서 “보도됐습니다”로 구분해 적었습니다. 공격 주체의 국적·소속과 국내 피해 규모는 확인되지 않았으므로 이 글에 적지 않았습니다. 따라 할 수 있는 명령어·악성 주소·설치 절차는 싣지 않습니다. 악성 프로그램 이름은 1차 자료에 공개된 것만 옮겼습니다. 브리프 기준일·발행일 2026-09-15.