Хакеры взломали официальный лаунчер популярной игры Goddess of Victory: NIKKE и превратили его в инструмент слежки за игроками. Вредоносная программа позволяла управлять чужими компьютерами, красть пароли и получать доступ к криптокошелькам. Заражение происходило при обычном запуске игры.
Разработчик Shift Up и издатель Level Infinite подтвердили компрометацию файлов лаунчера для Windows. Goddess of Victory: NIKKE представляет собой научно-фантастическую ролевую игру, вышедшую в 2022 году. Общее число её загрузок превысило 45 миллионов. Злоумышленники атаковали не саму игру, а инфраструктуру, через которую официальный клиент получал программные компоненты.
Независимый исследователь MotherSphere обнаружил изменения в четырёх JavaScript-файлах, размещённых в сети доставки контента (CDN) Level Infinite. Посторонний код появился 27 сентября 2026 года. При открытии лаунчера изменённые скрипты обращались к доменам insightjs.com и insightjs.org, откуда могли загружать дополнительные вредоносные компоненты. Адреса скрывали с помощью обфускации.
Загрузчик использовал штатные функции игрового клиента, чтобы запустить файл insight.bundle с кодом LuaJIT. В результате на компьютере появлялся агент удалённого управления K2F. Программа позволяла преступникам выполнять команды, просматривать и скачивать файлы, делать снимки экрана и похищать сведения из браузеров. Под угрозой находились игровые аккаунты, сохранённые пароли и токены авторизации.
Отдельный компонент platform_experience_helper.dll представлял ещё большую опасность. Анализ образца показал функции перехвата закрытых ключей и фраз восстановления криптокошельков MetaMask, Phantom и Coinbase Wallet. Библиотека могла сохранять доступ злоумышленников даже после закрытия лаунчера. Однако подтверждений установки DLL на компьютеры пострадавших и фактической кражи криптовалюты пока нет.
Согласно опубликованной издателем хронологии, злоумышленники сначала захватили домен insightjs.com, а 27 сентября изменили скрипты лаунчера. Распространение вредоносных программ, по оценке компании, началось 30 октября. Первые исправления появились 4 ноября, а позднее Level Infinite обновила содержимое CDN. Масштаб заражения пока неизвестен. Мобильные версии NIKKE инцидент не затронул.
В техническом разборе MotherSphere привёл признак заражения. Строка k2f_chan registered в файле Launcher/intl_service/debug.log указывает на запуск вредоносного агента. Однако отсутствие записи не гарантирует безопасность компьютера. Подробное объявление издателя рекомендует проверить устройства всем, кто запускал клиент после 27 сентября.
С 5 ноября официальный клиент NIKKE получил средство поиска и удаления вредоносных компонентов. Перед проверкой Level Infinite советует закрыть браузеры, затем сменить пароли на незаражённом устройстве и перевыпустить использованные ключи API и токены. При подтверждённом заражении может потребоваться переустановка Windows. Случай напоминает прежнюю атаку на игроков The Sims 4, где вредоносный код также распространяли под видом игрового обновления.