Заражений лаунчер NIKKE викрадав паролі та дані гаманців

ПК-лаунчер Goddess of Victory: NIKKE від Shift Up і Level Infinite завантажував змінені JavaScript-файли з офіційного CDN Level Infinite. Через них на комп’ютери гравців потрапляв агент віддаленого керування. Як зловмисники отримали доступ до серверів, невідомо.

Кілька файлів змінили щонайменше 27 вересня. Лаунчер завантажував їх під час кожного запуску, але шкідливий код запускався не щоразу. За наявними даними, агент почав працювати не пізніше 1 листопада. Окремі гравці повідомляли про зараження ще 24 жовтня.

Поки лаунчер був відкритий, агент давав змогу виконувати команди на комп’ютері, читати й завантажувати файли та робити знімки екрана всіх підключених моніторів. Він шукав збережені в браузерах паролі, дані диспетчера облікових даних Windows, SSH-ключі, токени хмарних і сервісів штучного інтелекту, а також інформацію з 28 браузерних криптогаманців.

На комп’ютерах із Windows і браузером Chrome агент міг закріпитися в системі та продовжити роботу після закриття лаунчера. Потенційно постраждати могли також користувачі Linux і Steam Deck, які запускали гру через Proton.

3 листопада Level Infinite замінила змінені файли на CDN. Окремі сервери ще певний час могли роздавати заражені копії. Атака збіглася зі святкуванням чотириріччя Goddess of Victory: NIKKE.

Перевірити запуск агента можна у файлі Launcher/intl_service/debug.log у папці гри. Рядок k2f_chan у журналі означає, що шкідливий код запускався. До офіційного підтвердження усунення проблеми радили не відкривати лаунчер і очистити його кеш.

Якщо комп’ютер міг бути заражений, паролі потрібно змінити з іншого, чистого пристрою, увімкнути двофакторну автентифікацію та завершити активні сеанси. Також слід відкликати токени й ключі, а криптовалюту перевести на новий гаманець.

Сервер, з яким взаємодіяв агент, перестав відповідати ввечері 3 листопада. Один із пов’язаних з атакою доменів зареєстрував сторонній користувач і розмістив на ньому попередження. Shift Up і Level Infinite публічно не коментували інцидент. Повідомлень про проблеми з мобільними версіями гри не надходило, однак окремого підтвердження їхньої безпеки немає.