NIKKE PC 游戏启动器被入侵，用于传播远程访问和数据窃取恶意软件

《Goddess of Victory: NIKKE》的开发者已确认，黑客在一次供应链攻击中篡改了游戏的 PC 启动器脚本，分发了能够窃取凭据和加密货币钱包数据的恶意软件。

根据在 X 上发布的一则通知，已于 11 月 4 日 02:30（UTC+9）发布客户端更新以解决该问题。

"我们已发现一个问题，表明 PC 启动器的脚本文件可能已被第三方篡改，" X 上的声明写道。

"据此，已于 11 月 4 日约 02:30（UTC+9）实施客户端修复和更新。我们目前正在调查该问题造成的影响范围，并将在另一份通知中提供有关后续措施的更多细节。"

《Goddess of Victory: NIKKE》是一款流行的科幻射击 RPG，由韩国公司 Shift Up 为 Windows、iOS 和 Android 开发。

其发行商 Level Infinite 报告称，自 2022 年上线以来下载量超过 4500 万次，仅 Google Play 就报告了 1000 万次下载。

恶意启动器脚本投递后门

尽管 Level Infinite 未披露许多细节，但独立安全研究员 MotherSphere 在 GitHub 上的一份报告称，该事件涉及托管在 Level Infinite 官方内容分发网络（CDN）上的四个 JavaScript 文件。

据该研究员称，这些文件于 2026 年 9 月 27 日被修改，注入了恶意 JavaScript，每当玩家打开游戏启动器时，就会从攻击者控制的服务器下载额外代码。

注入的代码隐藏在合法的 JavaScript 文件中，并使用混淆来隐藏下载恶意代码的域名 insightjs[.]com 和 insightjs[.]org。

BleepingComputer 检查了其中两个被修改的 JavaScript 文件，确认它们包含一个混淆的加载器，旨在从这些域名检索并执行额外代码，如果第一个域名不可用，则回退到第二个域名。

根据 MotherSphere 的分析，下载的代码滥用启动器的原生功能，检索并执行一个名为 insight.bundle 的恶意 LuaJIT 载荷，后者安装了一个被称为 K2F 的远程访问代理。

该后门允许攻击者远程执行命令、浏览和下载本地文件、截屏、收集 NIKKE 账户凭据，并窃取存储在 Web 浏览器中的信息。

该恶意软件还支持一个额外命令，用于安装一个名为 platform_experience_helper.dll 的恶意 Windows DLL，该 DLL 在游戏启动器关闭后仍可保持活动。

BleepingComputer 分析了从上传到 VirusTotal 的一个 DLL 样本中提取的字符串，发现代码表明该恶意软件可以从浏览器扩展（包括 MetaMask、Phantom、Coinbase Wallet 等）窃取加密货币钱包数据。

该 DLL 包含拦截敏感钱包信息（包括助记词和私钥）的功能，可能使攻击者窃取加密货币。

然而，尚不清楚攻击者是否在受感染的系统上部署了这一额外组件，或是否成功从玩家处窃取了加密货币。

该研究员称，Level Infinite 于 11 月 3 日用干净版本替换了三个受影响的 JavaScript 文件。然而，他们称截至格林尼治标准时间 22:26，第四个文件的被篡改副本据报仍在向用户提供。

这表明，至少有一个被入侵的脚本可能在该公司部署客户端更新后仍可访问。

该研究员还分享了入侵指标（IOC），用户可据此检查恶意 Lua 代理是否在其计算机上执行。

一个指标是在 NIKKE 安装目录内的 Launcher/intl_service/debug.log 文件中注册的字符串 k2f_chan。

该条目表明恶意 Lua 代理已执行，但不能确认 DLL 是否也被加载。

BleepingComputer 还发现，insightjs[.]org 备用域名现在提供的代码会在游戏启动器内显示一条安全警告。

该警告以英文、中文、日文和韩文显示，告诉玩家立即关闭启动器，并在发行商确认问题已解决之前不要打开 PC 客户端。

该消息确认这不是游戏发行商的官方公告，因此尚不清楚目前谁控制着该域名，或恶意载荷何时被替换为警告。

BleepingComputer 已联系 Level Infinite 就 MotherSphere 的发现发表评论，但截至发稿时未收到回复。

可能受影响的玩家应使用更新的杀毒软件运行全系统扫描。

发现已被入侵的用户应重装 Windows，并从干净的设备更改密码和其他敏感凭据。