《胜利女神：NIKKE》PC启动器被篡改，用于传播窃密恶意软件

《胜利女神：妮姬》的开发者已确认，黑客在一场供应链攻击中篡改了游戏的 PC 启动器脚本，散播能够窃取凭据和加密货币钱包数据的恶意软件。

根据发布于 X 上的一则公告，官方已于 11 月 4 日 02:30（UTC+9）发布客户端更新以解决该问题。

X 上的声明写道：“我们已确认一个问题，表明 PC 启动器的脚本文件可能被第三方篡改。”

“据此，我们已于 11 月 4 日约 02:30（UTC+9）实施客户端修复与更新。我们目前正在调查该问题造成的影响范围，后续措施的更多细节将在另行公告中说明。”

《胜利女神：妮姬》是一款热门科幻射击 RPG，由韩国公司 Shift Up 开发，支持 Windows、iOS 和 Android 平台。

其发行商 Level Infinite 表示，自 2022 年上线以来，下载量已超过 4500 万次，仅 Google Play 就报告了 1000 万次下载。

尽管 Level Infinite 未披露太多细节，但独立安全研究员 MotherSphere 在 GitHub 上发布的一份报告称，此次事件涉及托管在 Level Infinite 官方内容分发网络（CDN）上的四个 JavaScript 文件。

据该研究员称，这些文件于 2026 年 9 月 27 日被修改，注入了恶意 JavaScript，可在玩家每次打开游戏启动器时从攻击者控制的服务器下载额外代码。

注入的代码隐藏在合法的 JavaScript 文件中，并使用混淆手段来掩盖 insightjs[.]com 和 insightjs[.]org 这两个域名，恶意代码正是从这些域名下载的。

BleepingComputer 检查了其中两个被修改的 JavaScript 文件，确认它们包含一个经过混淆的加载器，旨在从这些域名获取并执行额外代码；如果第一个域名不可用，则会回退到第二个域名。

根据 MotherSphere 的分析，下载的代码滥用了启动器的原生功能，获取并执行一个名为 insight.bundle 的恶意 LuaJIT 载荷，该载荷会安装一个名为 K2F 的远程访问代理。

该后门允许攻击者远程执行命令、浏览和下载本地文件、截取屏幕截图、收集 NIKKE 账号凭据，以及窃取存储在浏览器中的信息。

该恶意软件还支持一条额外命令，用于安装名为 platform_experience_helper.dll 的恶意 Windows DLL，该 DLL 可在游戏启动器关闭后继续处于活动状态。

BleepingComputer 分析了从上传至 VirusTotal 的 DLL 样本中提取的字符串，发现其中包含的代码表明，该恶意软件可以从浏览器扩展中窃取加密货币钱包数据，包括 MetaMask、Phantom、Coinbase Wallet 等。

该 DLL 包含拦截敏感钱包信息的功能，包括助记词和私钥，可能使攻击者得以窃取加密货币。

不过，目前尚不清楚攻击者是否在受感染系统上部署了这一额外组件，或者是否成功从玩家处窃取了加密货币。

该研究员称，Level Infinite 已于 11 月 3 日将其中三个受影响的 JavaScript 文件替换为干净版本。但据称，截至格林尼治标准时间 22:26，第四个文件的被篡改副本仍在向用户提供。

这表明，在公司部署客户端更新后，至少还有一个被入侵的脚本可能仍可访问。

该研究员还分享了入侵指标（IOC），用户可据此检查恶意 Lua 代理是否在其电脑上执行过。

其中一个指标是 NIKKE 安装目录下 Launcher/intl_service/debug.log 文件中记录的字符串 k2f_chan。

该条目表明恶意 Lua 代理已执行，但并不能确认该 DLL 是否也被加载。

BleepingComputer 还发现，insightjs[.]org 这个备用域名现在提供的代码会在游戏启动器内显示一条安全警告。

该警告以英文、中文、日文和韩文显示，告知玩家立即关闭启动器，并在发行商确认问题已解决之前不要打开 PC 客户端。

该消息确认这并非游戏发行商的官方公告，因此目前不清楚该域名由谁控制，也不清楚恶意载荷是何时被替换为这条警告的。

BleepingComputer 已就 MotherSphere 的发现联系 Level Infinite 请求置评，但截至发稿未收到回复。

可能受影响的玩家应使用更新后的杀毒软件进行全系统扫描。

发现自己已遭入侵的用户应重装 Windows，并在干净设备上更改密码及其他敏感凭据。

Adaptive Security 的 AI 代理可分析电子邮件的意图、上下文和行为，以发现网络钓鱼、商业电子邮件入侵和发票欺诈。

通过为期 14 天的 Microsoft 365 或 Google Workspace 只读扫描，了解有哪些威胁正在穿透防线，且无需更改 MX 记录。

LiteLLM 发布流水线遭入侵，被用于散播信息窃取恶意软件

黑客劫持 cPGuard 自动更新以部署后门并窃取数据

黑客劫持 Convertr 分析脚本以窃取支付卡数据

OVHcloud CLI 在 GitHub 上的发布版本被植入后门，以窃取开发者机密

WordPress SEO 插件 Rank Math 遭入侵，网站被植入后门