니케 해킹 확인 ― PC 런처 악성코드 점검·삭제·비밀번호 변경과 모바일 영향 여부

9월 27일 15:41 이후 PC 런처를 켰는지가 기준입니다

운영사가 정한 점검 대상은 9월 27일 15:41 이후 Windows PC 런처를 한 번 이상 실행한 사람입니다^⁠[1]. 게임을 실제로 하지 않았더라도 런처를 켰다면 대상에 들어갑니다.

어느 쪽이든 debug.log 확인과 사본 보관을 먼저 합니다

• 공식 자동 검사: Chrome 등 실행 중인 브라우저를 모두 끈 뒤 니케 PC 클라이언트를 실행합니다. 악성 프로그램이 검출되면 관련 로그·DLL·레지스트리 정보를 지울지 묻는 창이 뜨고, 동의하면 모두 삭제됩니다. 검출되지 않으면 아무 창 없이 게임이 실행됩니다^⁠[1].
• 브라우저가 덜 꺼졌다면: 일부 DLL 파일이 남을 수 있지만 더 이상 실행되지 않아 추가 위험은 없다고 운영사가 설명합니다^⁠[1]. 남은 폴더가 신경 쓰이면 4절의 Chrome 폴더 단계로 직접 지웁니다.
• 수동 점검: 런처를 이미 지웠거나 런처를 켜지 않고 확인하려면 3절과 4절의 공식 수동 점검 절차를 따릅니다^⁠[2].
• 사본 보관(공식 안내 아님): 외부 분석은 11월 4일 이후 런처 업데이트가 debug.log를 자동으로 지울 수 있다고 경고합니다^⁠[10]. 계정 이상이나 금전 피해를 접수할 가능성이 있다면, 런처를 켜거나 파일을 지우기 전에 3절에서 찾은 debug.log를 문서 폴더 같은 다른 곳에 복사해 둡니다.

debug.log에서 k2f_chan registered를 검색합니다

시작 전: 인터넷 연결을 끊고 니케 게임·런처·Google Chrome을 완전히 종료합니다. 화면 오른쪽 아래 시스템 트레이에 니케 아이콘이 남아 있지 않은지도 확인하고, 점검이 끝날 때까지 런처를 다시 켜지 않습니다^⁠[2].

1. 바탕 화면의 NIKKE 아이콘을 마우스 오른쪽 버튼으로 누르고 파일 위치 열기를 골라 설치 폴더를 엽니다^⁠[2].
2. 설치 폴더 안의 Launcher\intl_service\debug.log 파일을 찾습니다. 공지의 예시는 C:\NIKKE\Launcher\intl_service\debug.log와 C:\NIKKE_GOOGLE\Launcher\intl_service\debug.log이며, 설치할 때 고른 위치에 따라 다릅니다^⁠[2].
3. debug.log를 마우스 오른쪽 버튼으로 누르고 연결 프로그램 → 메모장으로 엽니다^⁠[2].
4. Ctrl + F를 눌러 k2f_chan registered를 검색합니다^⁠[2].

• 검색됨: 악성 프로그램이 PC에서 실행됐을 가능성이 있습니다. 4절 순서로 이어갑니다^⁠[2]. 외부 분석에 따르면 이 줄은 런처 안에서 악성 에이전트가 돌았다는 뜻이고, Chrome에 심는 DLL까지 설치됐는지는 4절의 레지스트리 항목과 폴더로 따로 확인해야 합니다^⁠[9].
• 검색되지 않음: 위험을 완전히 배제할 수는 없습니다. 백신을 최신 버전으로 업데이트한 뒤 전체 검사를 진행합니다^⁠[2]. 로그가 이미 지워졌을 수 있으니 4절 1·3단계의 레지스트리 항목과 Chrome 하위 폴더가 있는지도 함께 봅니다.

레지스트리 → 재부팅 → DLL 폴더 → 다운로드 파일 → 캐시 순서로 지웁니다

이 절차는 파일과 레지스트리를 고치므로 안내된 경로와 이름을 확인한 뒤 진행하고, 다른 항목은 지우지 않습니다^⁠[2]. 레지스트리 편집기가 처음이라면 레지스트리 편집기 여는 법과 수정 주의점을 먼저 보세요.

1. 레지스트리 항목 삭제: Win + R에서 regedit를 실행하고, 주소 표시줄에 HKEY_CURRENT_USER\Software\Classes\CLSID를 붙여 넣어 이동합니다. 그 아래에 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 항목이 있으면 마우스 오른쪽 버튼으로 눌러 삭제합니다^⁠[2].
2. 재부팅: 항목을 지운 뒤 Windows를 다시 시작합니다^⁠[2].
3. DLL 폴더 삭제: Win + R에 %LOCALAPPDATA%\Google\Chrome\User Data\를 붙여 넣어 엽니다. PlatformExperienceHelper 폴더 안에 숫자 0~9와 영문 소문자 a~f로만 된 64자리 이름의 하위 폴더가 있고, 그 안에 platform_experience_helper.dll이 있을 때만 그 64자리 폴더를 지웁니다. PlatformExperienceHelper 폴더가 없으면 DLL이 설치되지 않은 상태이므로 다음 단계로 넘어갑니다^⁠[2].
4. 다운로드 파일 삭제: 설치 폴더의 Launcher\log\tinyget에서 크기가 205,135바이트(약 200KB)이고 이름이 tinyget.<날짜>-<시간>.log 형식인 파일을 지웁니다. 크기는 파일을 마우스 오른쪽 버튼으로 눌러 속성에서 바이트 단위로 확인합니다. 해당 파일이 없으면 넘어갑니다^⁠[2].
5. 런처 캐시 삭제: Win + R에 %APPDATA%\nikke_launcher를 붙여 넣어 열고 tbs_cache 폴더를 통째로 지웁니다^⁠[2].

같은 이름의 레지스트리 항목은 다른 경로에도 있으므로 반드시 HKEY_CURRENT_USER 쪽만 지웁니다^⁠[2]. 외부 분석은 HKEY_LOCAL_MACHINE 쪽 항목이 Windows의 정상 항목이라고 설명합니다^⁠[8].

깨끗한 기기에서 이메일부터 비밀번호를 바꿉니다

계정 보호 조치는 악성 프로그램의 영향을 받지 않은 다른 기기(휴대폰 등)에서 하거나, 지금 PC의 점검을 마친 뒤에 합니다. 운영사는 그 PC에서 쓴 적 있는 계정의 비밀번호 변경과 그 PC에 저장했거나 사용한 API 키·액세스 토큰의 폐기와 재발급을 요청합니다^⁠[1]. 아래 순서는 다른 계정의 비밀번호 재설정 통로부터 막기 위한 것입니다.

1. 이메일: 다른 서비스의 비밀번호 재설정 메일을 받는 계정이므로 가장 먼저 바꿉니다.
2. 금융·결제: 인터넷 뱅킹, 간편결제, 쇼핑몰처럼 돈이 오가는 계정을 바꿉니다.
3. 니케 로그인 계정: 이메일로 만든 레벨 인피니트 패스는 게임 안의 계정 센터나 공식 웹사이트에서 바꿉니다. 이메일 인증을 먼저 거쳐야 하고, 바꾼 비밀번호는 모든 레벨 인피니트 게임에 적용됩니다^⁠[5]. 구글·애플 등으로 로그인했다면 그 계정의 비밀번호를 바꿉니다.
4. 브라우저에 저장된 나머지 사이트: 외부 분석에 따르면 이번 악성 프로그램은 Chrome·Edge 등 브라우저에 저장된 비밀번호와 쿠키를 노립니다^⁠[8]. Chrome에서는 더보기 → 비밀번호 및 자동 완성 → Google 비밀번호 관리자에서 저장된 사이트 목록을 보고^⁠[6], 그 사이트들의 비밀번호를 하나씩 바꿉니다. 화면별 순서와 유출·취약 비밀번호를 한 번에 보는 진단은 구글 비밀번호 관리자를 참고하세요.

• 다른 기기의 로그인 끊기: 레벨 인피니트 패스 계정 센터에는 로그인 기기 기록, 현재 기기를 뺀 모든 기기 로그아웃, 2단계 인증 설정이 있습니다^⁠[5]. 다른 서비스도 비밀번호를 바꾼 뒤 로그인 기기 목록을 확인하고 2단계 인증을 켭니다.
• 개발용 키: SSH 키, GitHub·클라우드 토큰처럼 그 PC에 저장한 키는 공지의 요청대로 폐기하고 새로 발급합니다^⁠[1]. 외부 분석은 이런 개발·클라우드 인증 파일도 수집 대상에 들어 있다고 분석했습니다^⁠[8].
• 암호화폐 지갑: Chrome 확장 지갑을 썼다면, 외부 분석은 새 복구 문구로 만든 새 지갑으로 자산을 옮기라고 권합니다^⁠[8].
• 피해 접수: 계정 이상이나 금전 피해가 생겼다면 인게임 고객센터로 문의합니다^⁠[1]. 2절에서 보관한 debug.log 사본을 함께 준비해 두면 상황 설명에 도움이 됩니다.

백신 검사가 깨끗해도 4절 확인을 대신하지 못합니다

공지는 Windows 보안이나 믿을 수 있는 백신을 최신 버전으로 업데이트한 뒤 전체 검사와 Windows 보안 오프라인 검사(Microsoft Defender)를 하라고 권합니다^⁠[2]. 오프라인 검사는 Windows를 불러오지 않은 상태에서 검사해 숨는 악성 프로그램을 찾기 쉽고, 실행하면 PC가 다시 시작됩니다^⁠[7]. 실행 순서는 컴퓨터 바이러스 검사의 오프라인 검사 절을 따르세요.

다만 외부 분석 보고서에는 Microsoft Defender 오프라인 검사가 이번 DLL을 찾지 못한 사례가 들어 있습니다^⁠[10]. 검사 결과가 깨끗하다는 것만으로 안심하지 말고, 3·4절의 파일·레지스트리 확인 결과로 판단합니다.

초기화를 하기로 했다면 사진·문서 같은 개인 파일만 백업하고, 절차는 윈도우 11 초기화를 따릅니다. 비밀번호는 초기화와 별개로 5절대로 바꿔야 합니다.

출처를 모르는 명령어와 검사 프로그램은 실행하지 않습니다

• PowerShell 한 줄 명령: 이번 사고를 분석한 글의 댓글에 사고와 무관한 도메인에서 스크립트를 내려받아 실행하는 PowerShell 명령이 올라왔고, 분석자는 그것을 실행했다면 PC가 감염된 것으로 보라고 경고했습니다^⁠[8]. 커뮤니티에 도는 명령어를 복사해 실행하지 않습니다.
• 비공식 검사·정리 프로그램: 외부 연구자가 만든 확인 도구도 있지만 공식 수단이 아니며, 보도한 매체도 안전성을 보증하지 않았습니다^⁠[9]. 이 글은 운영사 공지의 자동 검사와 수동 점검을 기준으로 합니다.
• 원격 접속 요구: 사고를 핑계로 PC를 대신 점검해 주겠다며 원격 접속이나 계정 정보를 요구하는 연락에는 응하지 않습니다. 원격 지원 사기의 특징은 컴퓨터 원격제어의 사기 주의 절을 보세요.
• 점검 중 런처 실행: 점검이 끝나기 전에는 니케 PC 런처를 다시 실행하지 않습니다^⁠[2].

운영사가 공개한 타임라인(한국 시간)

11월 4일 첫 공지는 그날 2시 30분경 클라이언트를 수정하고 업데이트했다고 알렸습니다^⁠[4]. 외부 분석이 보고한 날짜는 공식 발표와 다를 수 있습니다. 예를 들어 피해자 제보 기준으로는 공식 배포 시작보다 이른 10월 23~24일에 이미 악성 에이전트가 실행된 사례가 있습니다^⁠[8][10]. 점검 대상 판단은 공식 기준인 9월 27일 15:41을 따르면 이 차이를 모두 포함합니다.