요약
바이러스 없을 가능성이 크다
1. 정적 분석 (프로그램 실행 안하고 분석)
1) Python 바이너리 - 바이러스 토탈에 등록된 해쉬 파일로 검사 결과 문제 없음
2) 렌파이 SDK 공식 사이트 파일과 직접 비교 결과 - 모두 일치
영역 | 항목수 | 결과 |
Windows PE 바이너리 (.exe/.dll/.vbs) | 13 | SDK와 SHA-256 100% 일치 |
Linux ELF 바이너리 (.so + 실행파일) | 6 | SDK와 SHA-256 100% 일치 |
Ren'Py 엔진 Python 소스 (.py) | 156 | SDK와 SHA-256 100% 일치 |
Ren'Py 엔진 Ren'Py 소스 (.rpy) | 58 | SDK와 SHA-256 100% 일치 |
번들 Python 3.9 stdlib (.py + .pyc) | 882 | SDK와 SHA-256 100% 일치 |
번들 Python 3.11 stdlib (.py + .pyc) | 898 | SDK와 SHA-256 100% 일치 |
기타 파일 (.js, .pem) | 4 | SDK와 SHA-256 100% 일치 |
게임 스크립트 (.rpy)와 컴파일 코드 (.rpyc) 교차 검증도 일치
3) rpy 코드 - 난독화 및 위험코드 못찾음
위험 모듈 임포트 (os/sys/subprocess/socket/urllib/...): 0건
exec()/compile() 호출: 0건
base64/marshal/pickle.loads/fromhex: 0건
powershell/cmd/schtasks/wmic 등 OS 명령: 0건
외부 네트워크 호출: 0건
eval() 호출: 1건 (game/tracker.rpy:12 있긴하나, 게임의 상태를 확인하는 코드로 확인됨)
인코딩된 텍스트도 없음
4) 파이썬 실행 진입점 확인 (init python:)
animations.rpy:12510 init python: — 눈 입자 효과
flappy.rpy:1 init python: — Flappy Bird 미니게임
gallery/gallery_animations.rpy:1 init python: — atl 사운드 재생 헬퍼
gui.rpy:11 init python: — gui.init(1280, 720)
gui.rpy:417 init python: — 모바일/태블릿용 GUI 설정
gallery/gallery_main.rpy:1 python early: — namedtuple, reduce 임포트
gallery/gallery_main.rpy:7 init -1 python: — is_maya_virgin() 게임 로직 (헉)
gallery/gallery_main.rpy:12 init python: — 갤러리 사운드 채널
lock.rpy:1 init python: — 자물쇠 퍼즐
gallery/gallery_reversible_transforms.rpy:7 python early: — math, Timebase 클래스
gallery/gallery_reversible_transforms.rpy:44 init -5 python: — config.log='watchlog.txt' + 갤러리
options.rpy:167 init python: — Ren'Py 빌드 분류
screens.rpy:122 init python: — 캐릭터 네임박스 스타일 등록
screens.rpy:3554 init python: — config.overlay_screens.append('quick_menu')
script.rpy:9 init python: — 텍스트 컬러 태그, 사운드 채널, 인벤토리 헬퍼
sexgame.rpy:30 init -5 python: — 게임 아이템 가용성 함수
timingPhotoshoot.rpy:1 init python: — 타이밍 미니게임 슬라이더
tracker.rpy:1 init python: — getTrackerSceneColor()
tracker.rpy:859 init python: — renpy.add_layer('tracker_layer')
전부 게임 매커닉인듯 함
유해 코드는 없다는게 분석 결과
2. 동적 분석 (프로그램 실행하고 분석)
1) 자식 프로세스 3건(cmd.exe /c "ver" 3회로 윈도우 버전 확인용)
2) 네트워크 통신 0건
3) 레지스트리 쓰기 0건
4) 레지스트리 키 생성 1건(디스플레이 드라이버 클래스키)
5) 파일 쓰기 0건
6) 로드된 DLL 84개( system32 및 렌파이 dll로 하이재킹 없었음)
으로 위해 동작은 없었습니다.
3. F95발 Ren'Py 악성코드 시그니처 확인
최근 F95에서 유행했던 Ren'Py 악성코드 관련 IoC (RPGM 계통 RAT과 동일 제작자로 추정)
init python: 블록에 악성 코드 주입
subprocess.Popen + curl로 페이로드 다운로드
schtasks /create로 update-systask 작업 등록
Powershell로 레지스트리에 페이로드 인코딩 저장
AES 하드 코딩
COM 하이재킹용 GUID
모두 검출되지 않았습니다.
제보 글 관련
{F9A874B6-F8A8-4D73-B5A8-AB610816828B} = 윈도우 검색 인덱서
DCOM 10005에러는 흔한 시스템 에러입니다.
서버라는 이름에 흠칫할수도 있겠지만, 컴퓨터 내부의 통신에서도 서버, 클라이언트 용어는 자주 사용됩니다 호호
오히려 뭔가 못했다라는 에러라서... 큰 걱정 안하셔도 될 것 같습니다.
결론
정적 / 동적 분석 결과 본 게임은 안전하다고 판단됩니다.
F95에서 유행했던 렌파이 악성코드 IoC도 찾지 못했구요
다만 동적 분석은 샌드박스위 한정된 시간에서 진행되었으므로, 의심되는 동작이 있다면 별도로 제보 부탁드립니다.
여러모로 민감한 시기네요 다들 조심하셔요 감사합니다.
삭제된 댓글입니다.