Лаунчер NIKKE для ПК взломан: через него распространялся вредонос, крадущий пароли и криптокошельки
Разработчики Goddess of Victory: NIKKE подтвердили, что злоумышленники подменили скрипты PC-лаунчера игры в ходе атаки на цепочку поставок. Через зараженный лаунчер распространялась программа, способная красть учётные данные и данные криптокошельков.
Главное в цифрах
- Пользователи игры: более 45 млн загрузок у издателя
- Дата изменения скриптов по данным MotherSphere: 27 сентября 2026 года
- Дата обновления клиента: 4 ноября, около 02:30 по UTC+9
- Затронуто скриптов по данным исследователя: четыре JavaScript-файла
Издатель Level Infinite сообщил, что скрипты PC-лаунчера могли быть изменены третьей стороной. Исправления и обновление клиента были выпущены 4 ноября примерно в 02:30 по UTC+9. Компания продолжает выяснять масштаб последствий и обещает отдельное уведомление с дальнейшими мерами.
По данным независимого исследователя безопасности MotherSphere, опубликовавшего анализ на GitHub, атаковали четыре JavaScript-файла на CDN издателя. Файлы были изменены 27 сентября 2026 года: в них внедрили код, который при каждом запуске лаунчера загружал дополнительные компоненты с серверов атакующих. Код был спрятан в легитимных скриптах и обфусцирован, а домены для загрузки - insightjs[.]com и insightjs[.]org.
Что умел вредонос
По анализу MotherSphere, загруженный код запускал вредоносный LuaJIT-пакет insight.bundle, который устанавливал удалённый агент K2F. Через него атакующие могли выполнять команды, просматривать и скачивать локальные файлы, делать скриншоты, собирать учётные данные аккаунта NIKKE и красть информацию из веб-браузеров.
Кроме того, агент мог установить вредоносную DLL-библиотеку platform_experience_helper.dll, которая продолжала работать после закрытия лаунчера. BleepingComputer изучил строки из образца DLL и нашёл код, способный перехватывать фразы восстановления и приватные ключи из расширений MetaMask, Phantom, Coinbase Wallet и других. Остаётся неизвестным, установили ли атакующие эту компоненту на заражённых компьютерах и украли ли они криптовалюту у игроков.
Что делать игрокам
Исследователь утверждает, что 3 ноября Level Infinite заменил три из четырёх затронутых файлов чистыми версиями, но четвёртый модифицированный файл, по его данным, всё ещё раздавался пользователям как минимум до 22:26 по GMT. Это значит, что один из скомпрометированных скриптов мог оставаться доступным и после выхода обновления.
Для проверки MotherSphere опубликовал индикаторы компрометации. Одним из них является строка k2f_chan в файле Launcher/intl_service/debug.log в папке установки NIKKE: она говорит о запуске вредоносного Lua-агента, но не подтверждает загрузку DLL. Пользователям, которые запускали лаунчер в этот период, стоит проверить систему полным сканированием обновлённым антивирусом. Если заражение подтвердилось, рекомендуется переустановить Windows и менять пароли и другие важные учётные данные с чистого устройства.
BleepingComputer также зафиксировал, что резервный домен insightjs[.]org теперь показывает внутри лаунчера предупреждение на английском, китайском, японском и корейском языках с просьбой закрыть лаунчер и не открывать ПК-клиент до подтверждения решения проблемы издателем. Кто контролирует домен сейчас, неизвестно. Level Infinite на запрос издание не ответил до публикации.
