소미소프트

스포세쿠 바이러스 관련 클로드한테 물어봄

서로인스테이크

04/22/2026, 12:38:45

일반

4198 views · 5 likes

바이러스토탈 50%는 높은 편이지만, 인디 게임/동인 게임에서 오탐이 매우 흔합니다. 특히 작은 사이즈의 런처 파일일수록 그렇습니다. 분석해보겠습니다. 실행됨 명령 3개

이 파일은 Unity 게임입니다! Game_Data 폴더가 있고 exe가 2개(Desktop + VR 버전)로 크기가 같다는 것이 명확한 증거입니다. 확인해 볼게요.

실행됨Check Game_Data contents

확실히 Unity 게임이고, 루트의 **179KB exe는 단순히 "Game_Data 안의 진짜 게임을 실행시키는 런처"**입니다. 런처의 문자열을 추출해서 확인해 보겠습니다.

실행됨Extract interesting strings from launcher

.NET 기반 런처입니다 (mscoree.dll). 이건 디컴파일이 상대적으로 쉽습니다. 더 깊이 분석해 보겠습니다.

실행됨Extract ASCII strings for analysis

.NET 런처가 맞습니다. Process.Start() 호출이 있어서 다른 exe를 실행하는 용도입니다. 실제 코드를 디컴파일해서 확인해 보겠습니다.

실행됨Load .NET assembly and inspect types

단 1개 클래스, 1개 메서드만 있고, 참조 라이브러리도 mscorlib + System 2개 뿐입니다 (네트워크/암호화 라이브러리 전혀 없음). IL 코드를 직접 뜯어보겠습니다.

실행됨Decompile Main method IL

완벽하게 분석 완료됐습니다. 이 exe의 전체 코드는 단 18바이트이고, 하는 일이 이게 전부입니다:

디컴파일 결과

static void Main() {

Process.Start("Game_Data\\Suposeku.exe", "-desktop");

}

문자 그대로 "Game_Data\Suposeku.exe라는 진짜 게임을 -desktop 인자와 함께 실행" 이 전부입니다. VR 버전(Suposeku_VR.exe)도 인자만 -vr로 다를 뿐 동일한 구조일 것입니다.

결론: 100% 오탐입니다

이 런처가 하는 일:

✅ Process.Start 1회 호출 (표준 .NET 함수)

✅ 하드코딩된 경로로 같은 폴더 내 Unity 게임 실행

✅ 종료

하지 않는 일:

❌ 네트워크 통신 (네트워크 라이브러리 참조 없음)

❌ 파일 쓰기/삭제

❌ 레지스트리 조작

❌ 서비스 설치/지속성

❌ 암호화 페이로드

❌ 디버거 회피

❌ 동적 코드 실행

왜 백신이 잡을까?

백신의 휴리스틱이 "작은 .NET exe + Process.Start + 서명 없음 + 알려지지 않은 발행자" 패턴을 "드로퍼(악성코드 다운로더)" 패턴으로 잘못 인식한 것입니다. 인디 게임 런처에서 매우 흔한 오탐입니다.

가져옴https://www.virustotal.com/gui/file/de2cf15c6fbc43467a0bdab4c41236f25d1368ebe3d9d7b8d7c3ab67989572c6

VirusTotal 페이지는 JavaScript로 로드되어서 WebFetch로는 내용이 안 잡히네요. 하지만 질문의 본질은 답할 수 있습니다.

50%+ 탐지율 = 진짜 악성인 건 아닙니다

VirusTotal 탐지율을 해석하는 핵심은 "얼마나 잡았냐"가 아니라 "어떻게 잡았냐" 입니다.

탐지 방식 2가지

방식	이름 예시	신뢰도
시그니처 기반 (특정 알려진 악성코드)	`Trojan.Emotet.ABC`, `Ransom.WannaCry`	높음
휴리스틱/AI 기반 (의심스러운 패턴)	`Gen:Variant.MSILHeur`, `ML.Attribute.HighConfidence`, `Trojan.Generic`, `Suspicious.MSIL.Obfus`	낮음 (오탐 많음)

이 파일이 50%로 탐지된다면 거의 전부 후자(휴리스틱) 일 겁니다. 이름에 Gen, Heur, Generic, ML, Suspicious, Variant 같은 단어가 들어있으면 확정입니다.

왜 이 패턴이 휴리스틱을 자극하나

제가 분석한 이 런처의 특징:

매우 작은 .NET exe (183KB)

서명 없음

Process.Start 호출

알려지지 않은 발행자

버전/회사 정보 없음

이 5개 특징은 실제 **악성 드로퍼(Dropper)**의 전형적 패턴과도 완전히 동일합니다. AI/휴리스틱은 패턴만 보고 판단하므로 합법적 런처와 드로퍼를 구분하지 못합니다.

결정적 증거: 코드 레벨 분석

제가 IL 바이트코드까지 뜯어서 본 결과:

Process.Start("Game_Data\\Suposeku.exe", "-desktop");

이 한 줄이 전부입니다. 18바이트. 숨겨진 코드, 난독화, 외부 통신 없음.

백신 50개가 "의심스럽다"고 해도, 실제 코드는 거짓말 못 합니다.

확인해 보실 수 있는 방법

VirusTotal 페이지에서 Detection 탭을 보면 각 백신이 붙인 이름이 나옵니다. 만약 이름 대부분이:

Gen:, .Heur, Generic, ML., Suspicious, Variant 등이면 → 오탐 확정

반대로 Trojan.InfoStealer, Ransom.XXX 같은 구체적 명칭 위주면 → 재검토 필요

원하시면 브라우저로 VirusTotal 페이지에 접속해서 탐지 이름 목록을 직접 가져올 수도 있습니다. 확인해볼까요?

1️⃣ 탐지 결과 해석

한 줄씩 뜯어보면 거의 전부 AI/휴리스틱/제네릭 탐지입니다:

탐지명	의미
`Trojan.GenericKD.76146511`	Bitdefender의 포괄적 시그니처 (여러 백신이 같은 DB 공유)
`Win32:Malware-gen`	Avast의 "뭔가 의심됨" 일반 탐지
`Generic.ml`/ `Malware.AI`/ `Static AI`	AI/머신러닝 기반 추측
`Heur`/ `.gen`/ `PossibleThreat`	휴리스틱 (의심 패턴)
`PUA:Win32/PornTool`(Microsoft)	⭐ 악성이 아님 . PUA = "잠재적 원치 않는 프로그램". 성인 콘텐츠 게임이라 표시된 것
`PUA`(Sophos)	동일하게 PUA 분류
`Win/grayware_confidence_100%`(CrowdStrike)	⭐ grayware = 악성 아님. "회색지대"

🎯 결정적 포인트

Microsoft: PornTool — 성인 게임이라 PUA로 잡은 것 (실제 악성이라면 Trojan:Win32/...가 붙음)

CrowdStrike: grayware — malware가 아니라 grayware로 분류. 이건 CrowdStrike가 "악성 아님"이라고 말하는 것

나머지: 대부분 Generic, Heuristic, AI, .gen — 전부 **"코드 패턴이 의심스럽다"**지, **"악성 행동을 확인했다"**가 아님trojan.psdownload/pudcq 계열은 AV 업계에서 유명한 오탐 시그니처입니다. 작은 .NET 런처 + Process.Start 패턴을 전부 잡아버려서, Unity/Electron/NW.js 인디 게임 런처가 단골로 걸립니다.

2️⃣ 18바이트 코드가 왜 179KB인가?

완전히 정상입니다. 이유를 분해해 보면:

실행됨Analyze PE sections

와우 - 답이 나왔습니다! 파일 내부 구조를 보면:

섹션	용량	내용
`.text`(실제 코드)	1 KB	18바이트 코드 + .NET 메타데이터
`.rsrc`( 리소스 )	177 KB (97%!)	🖼️ 아이콘/리소스
`.reloc`	0.5 KB	재배치 테이블

**전체 179KB 중 97%가 리소스(.rsrc)**입니다. 내용을 확인해 볼게요.

실행됨Extract icon info and resource strings

확인됐습니다. 97%가 아이콘/리소스입니다.

💡 왜 그렇게 큰가

Unity 게임은 보통 다음을 포함한 멀티 해상도 아이콘을 넣습니다:

해상도	색 심도	용량
256×256	32비트 (PNG 압축)	~50-100 KB
128×128	32비트	~40 KB
64×64	32비트	~16 KB
48×48	32비트	~9 KB
32×32	32비트	~4 KB
16×16	32비트	~1 KB
합계		~150-180 KB

여기에 Windows 버전 정보 리소스 + .NET 메타데이터가 더해지면 정확히 179KB 근처가 나옵니다.

📊 최종 정리

전체 파일: 179 KB = 183,296 바이트

├─ 실제 코드 (.text): 1 KB (0.6%) ← 이 안에 18바이트가 있음

├─ 아이콘/버전정보 (.rsrc): 177 KB (97%) ← 이게 대부분

└─ 기타 헤더/재배치: ~1 KB (1%)

이전 분석에서 본 수많은 ?? 문자열은 아이콘 픽셀 데이터였습니다 (바이너리를 텍스트로 읽어서 보이는 그대로).

🏁 종합 결론

항목	결과
실제 악성 행동	❌ 없음 (Process.Start 1회가 전부)
숨겨진 페이로드	❌ 없음 (리소스는 아이콘 데이터)
외부 통신	❌ 없음 (네트워크 라이브러리 없음)
Microsoft 탐지명	"PornTool" (성인 게임이라 붙은 태그, 악성 아님)
CrowdStrike 분류	`grayware`(회색지대, malware가 아님)