프로젝트의 주장
이 저장소는 Axie Infinity Bot을 Windows x64용 사전 인증된 독립 실행형 데스크톱 빌드라고 설명합니다. 용량은 약 1.5GB이며 테스트와 배포를 목적으로 한다고 주장합니다.
README는 이 애플리케이션을 오프라인 데스크톱 유틸리티로도 설명합니다. 그러나 문서에 나온 설정 과정에서는 타사 도메인에서 PowerShell 스크립트를 다운로드하고 실행합니다. 이는 심각한 보안 문제로 간주해야 하며, 완전한 오프라인 애플리케이션이라는 설명과도 일치하지 않습니다.
중요한 보안 경고
저장소, 다운로드 호스트, 스크립트 내용, 게시자 신원 및 파일 서명을 독립적으로 확인하지 않았다면 개인용 또는 운영용 컴퓨터에서 제공된 설치 명령을 복사하여 실행하지 마세요.
- 이 명령은 원격 스크립트를 가져온 후 메모리에서 즉시 실행합니다.
- README에는 소스 코드, 해시, 릴리스 서명 또는 검증 가능한 게시자 인증서가 제공되지 않습니다.
- 문서에 나온 우회 방법은 PowerShell 실행 정책 우회를 사용하며, 이는 중요한 Windows 안전 제어 기능을 제거합니다.
- 지침에서는 실시간 바이러스 백신 보호 기능을 비활성화하라고 권장합니다. 이는 신뢰할 수 없는 소프트웨어에 위험하며 일반적인 설치 단계로 사용해서는 안 됩니다.
- 사전 인증된 봇은 관련 게임 또는 플랫폼의 서비스 약관을 위반할 수 있습니다.
설치 프로그램이 요청한다는 이유만으로 보안 소프트웨어를 비활성화하거나 실행 제어 기능을 우회하지 마세요. 먼저 소프트웨어와 배포 경로가 신뢰할 수 있는지 확인해야 합니다.
명시된 설정 과정 검토
README는 Windows 사용자에게 PowerShell을 열고 git-software.cc에서 스크립트를 다운로드하는 명령을 실행하도록 안내합니다. 이는 원격에 있으며 감사되지 않은 스크립트이므로, 해당 명령을 재현하면 원격 호스트가 컴퓨터에서 실행되는 내용을 제어할 수 있습니다.
더 안전한 검토 방법은 스크립트를 실행하지 않고 파일로 받은 다음 텍스트 편집기에서 검사하고, 신뢰할 수 있는 프로젝트 채널을 통해 출처를 확인하는 것입니다. URL만으로 진위를 입증할 수 있다고 생각해서는 안 됩니다.
- 주 컴퓨터 대신 격리된 Windows 가상 머신이나 폐기 가능한 테스트 환경을 사용하세요.
- 테스트 환경을 민감한 계정, 지갑, 개인 파일 및 기업 네트워크와 분리하세요.
- 알려진 게시자가 관리하는 검증된 릴리스 페이지나 저장소를 통해서만 파일을 다운로드하세요.
- 암호화 해시를 기록하고 신뢰할 수 있는 관리자가 게시한 해시와 비교하세요.
- 최신 보안 도구로 파일을 검사하고 실행하기 전에 모든 스크립트를 확인하세요.
- 패키지를 인증할 수 없거나 예기치 않게 동작하면 테스트 환경을 제거하세요.
PowerShell 우회 방법이 위험한 이유
README는 Windows가 스크립트를 차단할 때 powershell -ExecutionPolicy Bypass를 사용하라고 제안합니다. 실행 정책은 완전한 보안 경계가 아니지만, 이를 우회하면 보호 설정이 제거되고 신뢰할 수 없는 코드를 실수로 실행하기 쉬워집니다.
마찬가지로 SmartScreen이나 실시간 보호 기능을 일시적으로 비활성화하면 시스템이 악성 코드에 노출될 수 있습니다. 보안 소프트웨어가 설치 프로그램을 차단한다면 이를 우회해야 할 문제로 보지 말고 패키지를 조사해야 한다는 신호로 받아들이세요.
기본 사용법 및 운영상 고려 사항
README에는 사용자 인터페이스, 명령줄 옵션, 구성 파일, 지원되는 게임 버전, 로깅, 업데이트 동작 또는 검증된 실행 절차가 문서화되어 있지 않습니다. 따라서 격리된 환경에서 패키지를 평가하는 것 외에 안전한 사용 지침을 제공하기에는 신뢰할 수 있는 정보가 부족합니다.
데스크톱 자동화 도구를 고려하기 전에 해당 도구의 사용이 게임 규칙과 적용되는 계정 정책을 준수하는지 확인하세요. 검증되지 않은 애플리케이션에 자격 증명, 지갑 복구 문구, 결제 정보 또는 API 키를 입력하지 마세요.
고급 검증 팁
배포 경로 검사
저장소 소유자, 릴리스 작성자, 다운로드 도메인 및 서명 인증서가 독립적으로 검증 가능한 출처를 통해 서로 연결되는지 확인하세요. 소프트웨어 배포 서비스를 연상시키는 도메인 이름은 정당성의 증거가 아닙니다.
실행 전 파일 확인
실행 파일 메타데이터, 디지털 서명, 파일 해시, 설치 프로그램 동작 및 네트워크 연결을 검토하세요. 애플리케이션이 자동으로 실행되거나, 지속성을 설정하거나, 관리자 권한을 요청하거나, 설명되지 않은 도메인에 연결하면 테스트를 중단하고 추가로 조사하세요.
격리 환경 사용
가상 머신 스냅샷, 제한된 사용자 계정, 호스트 전용 네트워킹 및 개인 파일에 대한 접근 차단은 분석 중 노출을 줄일 수 있습니다. 이러한 제어 기능이 알 수 없는 소프트웨어를 안전하게 만들어 주는 것은 아니지만, 침해가 발생했을 때 잠재적 영향을 제한할 수 있습니다.
재현 가능한 빌드 우선
합법적인 소프트웨어라면 공개적으로 제공되는 소스 코드, 문서화된 빌드 지침, 서명된 릴리스, 변경 로그, 이슈 추적 및 명확하게 식별된 관리자를 확인하세요. 검증 가능한 출처가 없는 사전 인증 바이너리는 신뢰할 수 있는 배포 패키지로 취급해서는 안 됩니다.
결론
README는 Windows x64용 Axie Infinity Bot 설치 프로그램을 제시하지만, 원격 PowerShell 실행 명령, 실행 정책 우회, 바이러스 백신 비활성화 권고, 검증 정보 부족 및 불분명한 배포 출처로 인해 상당한 위험이 발생합니다. 가장 안전한 방법은 제공된 명령을 실행하지 않는 것입니다. 소프트웨어를 조사해야 한다면 폐기 가능하고 격리된 환경에서만 분석하고, 실행하기 전에 검증 가능한 출처를 요구하세요.