Лаунчер NIKKE заражён кодом для кражи данных

PC-лаунчер Goddess of Victory: NIKKE от Shift Up и Level Infinite оказался заражён вредоносным кодом. Злоумышленники изменили несколько официальных JavaScript-файлов на CDN Level Infinite. Лаунчер загружал их при каждом запуске, но агент удалённого управления срабатывал не всегда. Как злоумышленники получили доступ к серверам, неизвестно.

По данным технического разбора, файлы изменили 27 сентября. Агент запускался не позднее 1 ноября, а отдельные сообщения указывают на возможную активность с 24 октября. 3 ноября Level Infinite заменила изменённые файлы, однако часть серверов CDN ещё некоторое время раздавала заражённые копии.

Пока лаунчер был открыт, агент позволял выполнять команды на компьютере, читать и скачивать файлы и делать снимки всех подключённых мониторов. Он извлекал сохранённые в браузерах пароли, данные из диспетчера учётных данных Windows, SSH-ключи, токены облачных и ИИ-сервисов, а также сведения о 28 браузерных криптокошельках.

На компьютерах с Windows и браузером Chrome вредоносная программа могла закрепиться в системе и продолжить работу после закрытия лаунчера. Под угрозой оказались и пользователи Linux и Steam Deck, запускающие NIKKE через Proton.

Сервер, связанный с работой агента, перестал отвечать вечером 3 ноября. Атака совпала с празднованием четвёртой годовщины игры.

Проверить возможный запуск агента можно в файле Launcher/intl_service/debug.log в папке игры. Строка `k2f_chan` указывает на его запуск. До официального подтверждения устранения проблемы рекомендуется не открывать лаунчер и очистить его кэш.

При обнаружении заражения рекомендуется с чистого устройства сменить пароли, включить двухфакторную аутентификацию, завершить активные сеансы, отозвать токены и ключи, а средства с криптокошелька перевести на новый адрес.

Shift Up и Level Infinite публично не комментировали инцидент. О проблемах в мобильных версиях NIKKE не сообщалось, однако их безопасность также не получила прямого подтверждения.