У лаунчері гри Goddess of Victory NIKKE виявили шкідливий код
У PC-лаунчері Goddess of Victory: NIKKE виявили шкідливі скрипти, здатні викрадати облікові дані та дані криптогаманців.
Розробники Goddess of Victory: NIKKE повідомили про втручання сторонніх осіб у скриптові файли PC-лаунчера гри. Під час атаки на ланцюг постачання користувачам міг завантажуватися шкідливий код, здатний викрадати облікові дані та інформацію з криптовалютних гаманців. Компанія випустила оновлення клієнта 4 листопада приблизно о 02:30 за UTC+9 і продовжує оцінювати масштаби інциденту.
Шкідливі скрипти на CDN
Як повідомляє BleepingComputer, незалежний дослідник MotherSphere виявив чотири JavaScript-файли на офіційній мережі доставки контенту Level Infinite, які, за його твердженням, були змінені 27 вересня 2026 року. Прихований у легітимних файлах код завантажував додаткові компоненти з доменів insightjs[.]com та insightjs[.]org.
Журналісти BleepingComputer перевірили два змінені JavaScript-файли та підтвердили наявність обфускованого завантажувача, що отримував і запускав додатковий код із цих доменів. За аналізом MotherSphere, завантажений код використовував штатні функції лаунчера, щоб виконати шкідливий LuaJIT-компонент insight.bundle та встановити засіб віддаленого доступу K2F.
Можливості шкідливого ПЗ
Згідно з даними дослідника, бекдор давав зловмисникам змогу віддалено виконувати команди, переглядати й завантажувати локальні файли, робити знімки екрана, збирати дані облікових записів NIKKE та інформацію з браузерів. Також він міг встановити DLL-файл platform experience helper.dll, який міг залишатися активним після закриття лаунчера.
Аналіз рядків DLL-зразка, завантаженого на VirusTotal, показав функції для викрадення даних криптогаманців із розширень браузера, зокрема MetaMask, Phantom і Coinbase Wallet. Йдеться, зокрема, про фрази відновлення та приватні ключі. Водночас немає підтвердження, що цей компонент справді розгорнули на заражених пристроях або що зловмисникам вдалося викрасти криптовалюту.
Перевірка системи
MotherSphere стверджує, що 3 листопада Level Infinite замінила три скомпрометовані файли чистими версіями, однак копія четвертого файлу нібито ще була доступною користувачам станом на 22:26 GMT. Однією з ознак виконання шкідливого Lua-агента може бути запис k2f chan registered у файлі Launcher/intl service/debug.log у каталозі встановлення NIKKE. Такий запис не підтверджує завантаження DLL. Потенційно постраждалим користувачам рекомендують виконати повне сканування системи актуальним антивірусом, а в разі компрометації — перевстановити Windows і змінити паролі з чистого пристрою.
