최근 몇 년 동안 마인크래프트 모드는 일회성 취미에서 수백만 플레이어의 일상생활에 필수적인 요소로 자리 잡았습니다. 모드를 통해 사용자는 게임의 외관을 바꾸고, 오브젝트를 추가하고, 멋진 맵을 만들거나, 심지어 완전히 새로운 게임플레이 시스템을 추가할 수도 있습니다. 하지만 이러한 창의성과 함께 훨씬 덜 즐거운 측면도 증가했습니다. 바로 모드를 데이터 탈취, 악성코드 설치, 플레이어 감시 도구로 사용하는 사례입니다.
"나는 평범한 사용자일 뿐이고 숨길 게 없어"라고 생각할 수도 있지만, 실제로는 컴퓨터에 비밀번호, 디스코드 세션 기록, 브라우저 데이터, 잠재적인 암호화폐 지갑 정보, 그리고 사이버 범죄자에게 매우 가치 있는 개인 파일들이 저장되어 있습니다. 따라서 모드를 사용하는 것을 즐긴다면, 모드가 악성코드를 유포하는 데 어떻게 사용되는지, 어떤 실제 위험이 존재하는지, 그리고 피해를 최소화하기 위해 무엇을 할 수 있는지 이해하는 것이 거의 필수적입니다.
마인크래프트 모드란 정확히 무엇이고, 왜 위험을 초래하는가?
마인크래프트 모드는 기본적으로 게임의 동작을 수정하는 파일 입니다 . 자바 기반이기 때문에 보통 .jar 형식으로 제공되거나 .zip 또는 .rar로 압축되어 있으며, 장식 블록 추가, 월드 생성 방식 변경, 새로운 몹 추가, 게임 내 고급 보안 시스템 구현 등 거의 모든 것을 할 수 있습니다.
이러한 모드들은 Mojang이나 Microsoft의 공식 콘텐츠가 아닙니다. 플레이어, 팬 또는 소규모 독립 개발팀이 제작한 것입니다 . 이는 매우 긍정적인 측면(거의 무한한 다양성과 풍부한 혁신)을 가지고 있지만, 치명적인 단점도 있습니다. 바로 이러한 모드들이 사용자의 PC에 배포되기 전에 공식적인 감사나 보안 검토를 거치지 않는다는 점입니다 .
결과적으로, 모드가 완전히 합법적이고 단순히 재미있는 콘텐츠를 제공하는 것처럼 보일지라도, 악성 코드를 숨기는 완벽한 구실이 될 수 있습니다 . 공격자는 악성 코드를 매우 매력적인 모드나 많은 사람들이 기대하는 업데이트로 위장하여 웹사이트, 포럼, 심지어 "가짜" 다운로드 링크가 포함된 유튜브 영상 등을 통해 배포하기만 하면 됩니다.
많은 모드들은 기능의 일부로 특정 권한을 요청하거나 시스템 파일 및 데이터에 접근할 수 있습니다. 이러한 환경과의 상호 작용 기능은 누군가가 악의적으로 이를 악용할 경우 개인 데이터와 온라인 계정이 훨씬 더 취약해질 수 있음 을 의미합니다.
레딧과 같은 포럼에는 계정 도용부터 심각한 악성코드 감염에 이르기까지 악성 모드로 인해 불쾌한 경험을 한 사용자들의 사례가 넘쳐납니다 . 이러한 사례들을 통해 모드가 사이버 범죄자들에게 매우 취약한 공격 대상이라는 사실이 분명해졌습니다.
Minecraft 모드에 숨겨진 실제 맬웨어 캠페인
이론이나 개별 사례에 대해 이야기하는 것이 아닙니다. 최근 몇 년 동안 마인크래프트와 그 모드의 인기를 악용하여 전 세계 수천 명의 플레이어에게 접근한 조직적인 악성코드 공격이 적발되었습니다.
가장 잘 알려진 사건 중 하나는 2023년에 발생한 Fractureiser 캠페인으로, CurseForge와 Modrinth 같은 인기 플랫폼을 통해 배포되는 모드와 플러그인에 침투한 악성코드였습니다. 이 사건은 매우 심각하여 감염된 모드를 탐지하고 사용자가 시스템을 치료할 수 있도록 돕는 특정 도구가 개발되었으며 , 사건 발생 경과, 영향을 받은 파일, 권장 조치 등을 자세히 설명하는 종합적인 공개 조사 보고서가 GitHub에 게시되었습니다.
최근에는 '스타게이저스 고스트 네트워크' 라는 또 다른 고도화된 공격 방식이 발견되어 체크포인트 리서치에서 철저한 조사를 진행했습니다. 이 공격 방식은 깃허브(GitHub)에 호스팅된 악성코드 배포 서비스(DaaS)를 통해 이루어졌으며 , 악성 파일을 마인크래프트용 게임 수정 도구, 스크립트, 매크로 또는 치트 프로그램(예: 오링고, 타우나히)으로 위장하여 유포했습니다.
이 캠페인은 자바로 프로그래밍된 로더와 스틸러를 이용했는데 , 이 프로그램은 마인크래프트가 설치된 것으로 감지되면 활성화되었습니다. 이후 .NET으로 개발된 세 번째 단계가 작동하여 더욱 강력한 데이터 탈취 기능을 제공했습니다. 위협의 핵심이 자바로 작성되었기 때문에, 기존의 많은 안티바이러스 프로그램과 샌드박스 시스템은 에뮬레이션 환경에서 모드를 제대로 실행하는 데 필요한 종속성이 부족하여 이를 탐지하지 못했습니다.
2025년 3월부터 FunnyMap-0.7.5.jar, Oringo-1.8.9.jar, Polar-1.8.9.jar, SkyblockExtras-1.8.9.jar, Taunahi-V3.jar 등 커뮤니티의 관심을 끌 만한 이름을 가진 여러 사기성 GitHub 저장소가 감시되고 있습니다. 이 저장소들은 모두 모드 또는 유틸리티로 위장했지만, 실제로는 악성 2단계 프로그램을 다운로드하고 Discord, Telegram, Minecraft 클라이언트, 브라우저, 암호화폐 지갑 등에서 자격 증명을 탈취하는 .NET 스틸러를 실행하도록 설계되었습니다 .
이러한 유형의 악성 모드에서 감염 체인이 작동하는 방식
스타게이저스 고스트 네트워크와 같은 캠페인의 운영 방식을 자세히 살펴보면 상당히 정교하고 단계적인 감염 사슬이 드러납니다 . 간단히 말해, 이 과정은 일반적으로 다음과 같은 단계를 거칩니다.
- 초기 모드 다운로드플레이어는 GitHub 저장소나 합법적으로 보이는 페이지에 도착하여 매력적인 모드(또는 소위 치트)를 보고 .jar 파일을 다운로드합니다.
- Minecraft 내에서 실행해당 모드를 로드하여 게임을 시작하면 모드 자체가 다음과 같이 작동합니다. 자바 로더사용자의 동의 없이 추가 구성 요소를 요청하거나 다운로드합니다.
- 악의적인 두 번째 단계로더는 .NET에 추가 구성 요소를 배포하고 정보를 훔치고 시스템을 제어하는 데 필요한 기능이 더 많은 새로운 맬웨어(예: 난독화된 .jar)를 가져옵니다.
- 데이터 유출수집된 모든 정보는 압축되어 공격자에게 전송됩니다. Discord 웹훅 또는 원격 서버에서도 눈에 띄지 않는 기술을 사용합니다.
이러한 악성코드 계열은 일반적으로 분석 방지 및 가상화 방지 기술을 포함합니다 . 완전히 활성화되기 전에 해당 코드는 가상 머신, 샌드박스 환경 또는 자동 분석 시스템이 실행 중임을 나타내는 특정 조건에서 실행 중인지 확인합니다. 비정상적인 상황이 감지되면 겉보기 에는 무해한 것처럼 동작하거나 아무런 작업도 수행하지 않아 보안 도구가 탐지하기 어렵게 만듭니다.
스타게이저스 고스트 네트워크의 경우, 공격자들은 Pastebin과 같은 서비스를 이용하여 악성코드의 각 단계가 다운로드되는 URL을 동적으로 확보했습니다 . 이를 통해 초기 변조본을 변경하지 않고도 배포 서버나 경로를 변경할 수 있었기 때문에, 기존의 정적 안티바이러스 시그니처로는 오랫동안 효과적으로 대응하기 어려웠습니다.
도난당한 데이터는 단순히 몇 개의 비밀번호에 그치지 않았습니다. 디스코드와 텔레그램 토큰 및 계정 정보, 페더, 루나, 에센셜 같은 플랫폼의 런처 설정, 브라우저 비밀번호 및 쿠키(크롬, 엣지, 파이어폭스), VPN 정보, 암호화폐 지갑, 스크린샷, 실행 중인 프로세스 목록, 심지어 클립보드 내용까지 포함 되어 있었습니다. 이 모든 자료는 재판매 또는 향후 침입에 사용될 수 있는 매우 가치 있는 정보로 변환되었습니다.
이러한 캠페인의 규모는 많은 사이버 범죄 조직에게 있어 마인크래프트 커뮤니티가 매달 200억 명이 넘는 활성 사용자를 보유한 거대한 손쉬운 표적 시장 임을 보여줍니다 . 검증되지 않은 출처에서 모드를 다운로드할 때 조금이라도 부주의하면 컴퓨터가 취약해질 수 있습니다.
모드에 숨을 수 있는 맬웨어 유형
"모드에 있는 바이러스"라고 말할 때는 실제로 서로 결합될 수 있는 다양한 위협들을 통칭하는 것입니다.
- 트로이 목마이러한 파일은 합법적인 파일(예: 인기 있는 모드)로 위장하지만 백도어를 열거나, 더 많은 맬웨어를 다운로드하거나, 공격자에게 시스템을 원격으로 제어할 수 있는 코드를 포함합니다.
- Spyware그들은 ~에 집중한다 감시 및 민감한 정보 수집: 로그인 자격 증명, 재무 데이터, 채팅, 문서, 검색 패턴 등이 공격자에게 유출됩니다.
- 도둑이는 특정 유형의 스파이웨어로 설계되었습니다. 그들이 할 수 있는 모든 것을 빨리 비우다 브라우저, 메시징 클라이언트, 게임 런처, 암호화폐 지갑 등.
- 크립토 마이너그들은 여러분의 CPU나 GPU를 이용해 비밀리에 암호화폐를 채굴합니다. 항상 정보를 훔치는 것은 아니지만, 그들은 자원을 소모하고, 장비를 가열하고, 속도를 크게 늦춥니다..
- 랜섬Minecraft의 맥락에서는 덜 흔한 것처럼 보이지만 악성 모드가 랜섬웨어를 트리거할 수도 있습니다. 개인 파일을 암호화하고 몸값을 요구하세요 그 대가로 그들을 돌려받는다.
핵심은 일반 사용자가 보기에 정상적인 콘텐츠가 포함된 .jar 파일과 트로이 목마가 포함된 .jar 파일이 완전히 똑같아 보일 수 있다는 점입니다. 그렇기 때문에 모드의 출처, 평판, 그리고 설치 후 시스템의 작동 방식을 주의 깊게 살펴보는 것이 매우 중요합니다.
Minecraft 모드가 신뢰할 수 있는지 확인하는 방법
어떤 방법도 100% 완벽하지는 않지만, 몇 가지 필터와 모범 사례를 적용하면 악성 모드가 설치될 가능성을 크게 줄일 수 있습니다.
우선, 다운로드 출처 에 각별히 주의를 기울이는 것이 중요합니다 . 단축 링크, 출처가 불분명한 웹사이트, 정보가 거의 없는 저장소보다는 커뮤니티 내에서 규모가 크고 잘 알려진 플랫폼에서 모드를 다운로드하는 것이 항상 더 현명합니다. 인기 있는 사이트라고 해서 완전히 안전한 것은 아니지만, 일반적으로 더 많은 보안 조치와 검토 도구를 갖추고 있으며, 문제를 신속하게 감지하는 커뮤니티가 활발하게 활동합니다.
또 다른 중요한 요소는 제작자 또는 개발팀의 평판 입니다 . 많은 모드 제작자는 오랫동안 프로젝트를 진행해 왔고 수많은 긍정적인 평가를 받으며 업계에서 잘 알려져 있습니다. 하지만 만약 해당 개발자를 찾을 수 없고, 신뢰할 수 있는 사이트에 프로필이 없으며, 커뮤니티에서 아무런 언급도 없다면, 해당 파일은 극도로 주의해서 다루거나 아예 버리는 것이 현명합니다.
다른 플레이어들의 리뷰와 댓글은 매우 귀중한 정보입니다. 새로운 모드를 설치하기 전에 포럼, 공식 디스코드 서버, 레딧, 그리고 신뢰할 수 있는 웹사이트 에서 해당 모드의 이름을 검색해 보는 것이 좋습니다 . 사용자들이 바이러스 검사 결과 스크린샷이나 악성코드 유포에 사용된 경우 기술 분석 자료를 공유하며 모드 사용을 경고하는 경우가 흔합니다.
다운로드하는 파일 형식 에도 주의를 기울이는 것이 좋습니다 . 마인크래프트 자바 버전에서는 일반적으로 .jar 파일이나 .zip 또는 .rar 확장자를 가진 압축 파일입니다. 만약 모드를 다운로드하는 과정에서 .exe 파일, .bat 파일 또는 관리자 권한을 요구하는 설치 프로그램을 받게 된다면, 이는 일반적인 형식이 아니며 다른 파일을 몰래 설치하려는 시도일 수 있으므로 주의해야 합니다 . 설치 방법을 잘 모르겠다면, 마인크래프트 포지 설치 및 모드 다운로드 가이드를 참고하세요.
이 모든 것과 관련하여 오픈 소스 모드가 자동으로 안전한지 에 대한 질문이 제기됩니다 . 코드가 공개되어 있다는 사실은 도움이 됩니다. 필요한 기술을 가진 사람이라면 누구나 코드를 검토하고 직접 컴파일하여 백도어가 없는지 확인할 수 있기 때문입니다. 그러나 현실적으로 모든 사람이 코드를 검토하는 것은 아니며, 컴파일된 버전이 항상 공개 저장소의 버전과 일치하는 것도 아닙니다 . 따라서 오픈 소스는 좋은 징조이지만 절대적인 안전 보장은 아닙니다.
모드의 보안을 확인하는 도구
상식과 수동 검증 외에도, 메인 머신에서 파일을 실행하기 전에 파일이 깨끗한지 확인하는 데 큰 도움이 되는 도구가 많이 있습니다.
가장 기본적이면서도 필수적인 조치는 최신 버전의 바이러스 백신 또는 악성코드 방지 프로그램을 설치하는 것입니다 . 모드의 .jar 파일이나 압축 파일을 다운로드 직후 스캔하면 알려진 악성코드 종류를 다수 탐지하고 실행을 차단할 수 있습니다. 물론, 앞서 살펴본 바와 같이 일부 정교한 공격은 탐지를 피해가기도 하지만, 이는 매우 중요한 방어 수단입니다.
또 다른 강력 추천 방법은 가상 머신이나 샌드박스를 사용하는 것입니다 . VirtualBox 또는 유사한 솔루션을 사용하여 격리된 환경을 설정하고, 메인 시스템에 영향을 주지 않고 마인크래프트를 설치하고 모드를 테스트할 수 있습니다. 문제가 발생하면 가상 머신을 삭제하고 새로 생성하면 됩니다. Any.Run이나 Joe Sandbox와 같은 온라인 샌드박스 도 의심스러운 파일의 동작을 분석해 주지만, 마인크래프트 모드의 경우 필요한 종속성이 부족하여 완전히 실행되지 않는 경우가 있습니다.
VirusTotal과 같은 온라인 분석 플랫폼 을 잊지 마세요 . 이러한 플랫폼을 이용하면 파일을 업로드하거나, 해시값을 붙여넣거나, 다운로드 URL을 사용하기 전에 분석할 수도 있습니다. 그러면 수십 개의 서로 다른 안티바이러스 엔진이 파일을 분석하여 악성 파일인지 여부를 더 폭넓게 파악할 수 있도록 도와줍니다. 하지만 이러한 서비스에서 바이러스로 분류되지 않았다고 해서 안전하다고 보장할 수는 없습니다 . 자바 기반 공격 캠페인이 탐지되지 않고 넘어간 사례가 이를 보여줍니다.
Fractureiser와 같은 대규모 감염 사태의 경우, 일부 플랫폼에서는 감염된 모드를 찾아 제거하는 데 도움이 되는 특정 도구를 제공하기도 합니다 . 이러한 상황이 발생하면 공식 발표를 주의 깊게 살펴보고 제공되는 도구를 활용하는 것이 중요합니다.
일부 모드는 어떤 종류의 데이터를 수집할 수 있으며 Essential의 경우는 다음과 같습니다.
특히 소셜 모드나 유틸리티 모드를 사용하는 사람들 사이에서 널리 퍼진 우려는 이러한 모드가 어떤 종류의 개인 정보를 수집할 수 있는지 에 대한 것입니다 . Essential과 같이 서버를 임대하지 않고도 친구를 자신의 월드에 직접 초대할 수 있는 모드는 작동을 위해 외부 서비스와의 연결이 필요한 경우가 많습니다.
합리적인 시나리오에서, 이러한 유형의 모드는 사용자의 사용자 이름, IP 주소, 게임 세션 정보, 클라이언트 버전, 그리고 초대, 인증 또는 통계 관리를 위해 운영 체제나 특정 식별자와 같은 시스템 메타데이터에 접근할 수 있습니다. 더 나아가, 이러한 정보는 분석, 서비스 개선 또는 최악의 경우 더욱 노골적인 상업적 추적에 사용될 수 있습니다.
매우 이례적이고 심각한 문제는, 단순히 소셜 기능을 지원하기 위해 모드가 커널 수준에서 작동하거나 운영 체제의 핵심 부분을 조작하는 것 입니다 . 마인크래프트 클라이언트에서 로드되는 일반적인 모드는 루트킷처럼 작동하지 않으며, 잘 설계된 모드라면 그런 종류의 작업을 할 필요가 없습니다.
하지만 악성 모드는 기술적으로 커널에 접근하지 못하더라도 설정 파일을 읽거나, 다른 애플리케이션(예: 알려진 경로를 공유하는 Discord)의 세션 토큰을 캡처하거나, 키 입력을 기록하거나, 게임 플레이 중 사용자의 활동을 감시할 수 있습니다. 바로 이 지점에서 "허용 가능한 원격 측정"과 "노골적인 감시" 사이의 경계가 모호해집니다.
Essential과 같은 특정 모드의 개인정보 보호에 특히 관심이 있다면, 최소한 해당 모드의 개인정보 보호정책, 기술 문서 및 커뮤니티 피드백을 검토해 보세요. 어떤 데이터가 수집되는지, 수집 목적은 무엇인지, 얼마나 오래 보관되는지, 그리고 모드 설정이나 시스템 방화벽을 통해 데이터 수집을 제한할 수 있는지 등을 명확히 설명하고 있는지 확인하십시오.
또한 중간 단계의 해결책을 선택할 수도 있습니다. 예를 들어 고급 방화벽을 사용하여 모드에서 나가는 특정 연결을 차단하거나 , 게임 플레이 전용으로 권한이 제한된 Windows 사용자 계정을 만들어 악의적인 행위가 발생하더라도 모드의 영향을 최소화할 수 있습니다.
이미 맬웨어가 포함된 모드를 설치한 경우 어떻게 해야 하나요?
만약 모드 사용 중 실수를 저질러 장비에 문제가 생겼을 가능성이 있다고 생각되면, 피해를 최소화하기 위해 정해진 일련의 단계를 따라 최대한 빨리 조치를 취하는 것이 가장 좋습니다.
첫 번째 단계는 마인크래프트 설치에서 의심스러운 모드를 제거하는 것 입니다 . .jar 파일, 관련 폴더 및 기타 모든 흔적을 삭제하세요. 작업 관리자 등을 통해 실행 중인 특정 프로세스를 알고 있다면 해당 프로세스도 종료하여 모드의 활동을 중지시키세요.
다음으로, 사용 중인 백신 프로그램이나 신뢰할 수 있는 맬웨어 방지 솔루션을 사용하여 전체 시스템 검사를 수행하십시오 . 가능하다면, 다양한 위협 유형에 대한 탐지 범위를 넓히기 위해 여러 도구(예: 상주형 백신 프로그램과 온디맨드 스캐너)를 함께 사용하는 것이 좋습니다.
감염이 확인되었거나 이상 동작이 지속적으로 발생하는 경우, 공식 웹사이트에서 마인크래프트를 완전히 재설치하는 것을 고려해 보세요 . 이렇게 하면 게임 디렉토리 내의 수정된 파일이 모두 깨끗하고 알려진 버전으로 교체됩니다.
이 작업을 완료한 후에는 해당 기기에서 사용했던 모든 계정 (Microsoft/Mojang 계정, 이메일, Discord, 결제 서비스 등)의 비밀번호를 변경하는 것이 좋습니다. 또한, 가능한 경우 2단계 인증(2FA)을 활성화하여 누군가가 토큰이나 비밀번호를 도용했을 경우를 대비한 추가적인 보안 계층을 구축하십시오.
이 모든 과정을 거친 후에도 여전히 의심이 들거나 문제가 마인크래프트 게임 외적인 영역으로까지 확장되었을까 봐 걱정된다면, 사이버 보안 전문가나 전문 지원 서비스 업체 에 문의하는 것이 좋습니다 . 이들은 시스템을 철저히 검사하여 게임 환경 외부에 존재하는 악성코드의 흔적을 찾아내는 데 도움을 줄 수 있습니다.
모드를 더 안전하게 사용하기 위한 모범 사례
특정 사건에 대응하는 것 외에도, 악성 모드가 컴퓨터에서 성공하기 훨씬 어렵게 만드는 일련의 습관을 들이는 것이 좋습니다 .
가장 먼저 해야 할 일은 운영 체제, 애플리케이션 및 보안 솔루션을 항상 최신 상태로 유지하는 것입니다 . 많은 공격은 알려진 취약점을 악용하여 권한을 상승시키거나 시스템에 지속적으로 접근하려고 시도하며, 배포되는 패치는 이러한 취약점을 해결하기 위해 설계되었습니다.
관리자 권한이 없는 사용자 계정 으로 플레이하는 것도 매우 좋은 방법입니다 . 이렇게 하면 모드가 무언가를 설치하거나 시스템의 민감한 영역을 수정하려고 시도하더라도 훨씬 어려워집니다. 완벽한 보호책은 아니지만, 많은 위협의 잠재적 영향을 줄여줍니다.
시스템 방화벽을 올바르게 구성하면 들어오고 나가는 연결을 더 효과적으로 제어할 수 있습니다. 만약 모더레이터가 의심스러운 IP 주소나 특이한 포트를 사용하거나, 대량 접속을 시도하는 경우, 제대로 작동하는 방화벽은 해당 트래픽을 차단하고 이상 징후가 감지되었음을 알려줄 수 있습니다.
정기적인 백업을 잊지 마세요 . 중요한 파일과 마인크래프트 월드를 외장 드라이브나 클라우드에 백업해 두면(3-2-1 규칙을 따르면 더욱 좋습니다) 랜섬웨어 공격이나 심각한 감염을 당하더라도 피해를 최소화할 수 있습니다. 공격자에게 굴복하지 않고도 데이터를 복원할 수 있기 때문입니다.
마지막으로, 특히 특정 모드를 설치한 후 컴퓨터가 과열되거나 속도가 느려지는 경우 CPU, GPU 및 메모리 사용량을 모니터링하는 것이 좋습니다 . 리소스 사용량이 이유 없이 증가하는 것은 백그라운드에서 암호화폐 채굴 프로그램이나 기타 악성 프로세스가 실행되고 있다는 신호일 수 있습니다.
마인크래프트 모딩 커뮤니티는 이 게임이 여전히 활기차고 다양한 이유 중 하나이지만, 바로 그 자유로움 때문에 점점 더 정교해지는 데이터 탈취 및 악성코드 유포 공격의 주요 표적이 되고 있습니다. 이러한 위협의 작동 방식을 이해하고, 모드의 출처와 동작을 평가하는 방법을 배우고, 분석 도구를 사용하고 , 기본적인 보안 수칙을 준수하는 것은 여러분의 개성을 마음껏 펼친 마인크래프트 경험을 즐기는 것과 계정 정보, 파일, 그리고 컴퓨터 성능을 악용당하는 것 사이의 차이를 만들어낼 수 있습니다.
