《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包

《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服 PC 客户端遭遇供应链投毒攻击。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。 这次攻击不仅针对游戏账号，还可能窃取浏览器密码、SSH 私钥、API 密钥，甚至加密货币钱包数据。 感谢 @Fiend_FEARing 同学的提醒。

黑客能做什么？

根据安全研究人员公布的技术报告，攻击者通过被污染的 JavaScript 文件下载并执行 LuaJIT 恶意程序。 这是一种远程控制木马（RAT），具备 19 条操作命令，包括：

• 浏览器数据：Chrome、Edge、Firefox 等浏览器的密码、Cookie、登录会话；
• 开发者凭据：SSH 私钥、GitHub、GitLab、AWS、OpenAI、Anthropic 等服务的密钥和 Token；
• 加密货币钱包：读取钱包相关文件、扩展数据及可能包含私钥的敏感信息；
• 远程控制：读取文件、截图、执行系统命令、启动任意程序；
• 持久化驻留：通过 Chrome 相关目录植入恶意 DLL，使木马可能在游戏退出后继续存在。 研究人员还发现，恶意程序包含约 1790 条敏感文件目标路径，其中涉及 Claude Code、Cursor、Gemini CLI 等 AI 开发工具。

如何检查是否中招？

首先，找到 NIKKE 游戏安装目录中的日志文件： Launcher\intl_service\debug.log 搜索关键词： k2f_chan 如果出现以下内容：

"k2f_chan registered"
"adopted uuid"

说明存在恶意代码运行的重要迹象，需要按照可能感染处理。 另外，恶意程序可能在以下位置植入 DLL： %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper
文件名为 platform_experience_helper.dll，位于以 64 位十六进制字符串命名的子目录中。 注意：找到 k2f_chan 并不意味着所有密码都已经被成功窃取；没有找到也不能完全排除感染。 如果确认中招，应立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换 SSH 私钥和 API Token。涉及加密货币钱包的，应考虑创建新钱包并转移资产。 由于木马具备远程命令执行能力，确认感染的电脑建议重装系统，避免恶意程序残留。

官方修复了吗？

截至 2026 年 11 月 4 日，NIKKE 运营方已经承认 PC 启动器脚本存在疑似第三方篡改的异常，并表示完成紧急修正。 安全研究人员复核发现，四个已知被污染的官方 JavaScript 文件已经恢复正常。 不过，攻击者究竟如何获得官方 CDN 文件的修改权限、实际有多少玩家感染、是否发生大规模数据泄露，目前仍没有明确答案。 而且，官方修复启动器，并不会自动清除此前已经安装到玩家电脑中的木马。 近期运行过 NIKKE 国际服 PC 客户端的玩家，建议尽快自查。 另外，事件还有一个颇为离奇的后续： 来自 ngabbs 社区的消息，攻击者控制的服务疑似已经关闭，启动器加载的代码随后回退到 insightjs[.]org。该域名据称已被一名第三方注册，并被用于向玩家展示安全警告。 也就是说，部分玩家在游戏启动器里看到的警告公告，可能并非游戏官方发布，而是由控制该域名的第三方下发。 参考资料

• WormW：NIKKE 恶意程序技术分析及检测规则
• MotherSphere：NIKKE PC Launcher 供应链攻击调查

相关阅读

• 密码管理器 LastPass 受供应链攻击波及，但无密码泄露
• 卡巴斯基披露，上古软件 DAEMON Tools 爆大规模供应链攻击
• 13 年陪伴，史上最强大的安卓桌面启动器 Nova Launcher 正式谢幕
• RK launcher – 模拟 Mac Dock 效果
• Nova Launcher – 一键开启 Android 原生桌面 ©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff 点击这里留言、和原作者一起评论[ 点击前往获取链接 ]