Seguridad · 7 de noviembre de 2026
También publicado en العربية, Русский, हिन्दी, Italiano, Svenska, Nederlands, Polski, Português (Brasil)
El lanzador para PC del juego NIKKE fue alterado para distribuir malware que roba datos
Los desarrolladores del videojuego Goddess of Victory: NIKKE confirmaron que actores maliciosos manipularon los archivos de secuencias de comandos del lanzador para computadoras personales en un ataque a la cadena de suministro. Esta intrusión resultó en la distribución de software malicioso con capacidad para sustraer credenciales de acceso y información sensible de billeteras de criptomonedas de los usuarios afectados. La organización responsable del juego emitió una actualización del cliente el cuatro de noviembre a las cero dos treinta, hora UTC más nueve, con el objetivo de abordar y mitigar este incidente de seguridad crítico.
La compañía publicó un comunicado oficial en la plataforma X donde reconoció que los archivos de secuencias de comandos del lanzador para PC podrían haber sido modificados por terceros no autorizados. En dicha declaración, los representantes indicaron que se implementaron correcciones y una actualización del cliente en la fecha mencionada anteriormente. Asimismo, informaron que se encuentra en curso una investigación para determinar el alcance total del impacto causado por este problema y prometieron proporcionar detalles adicionales sobre las medidas de seguimiento en un aviso separado una vez que la auditoría interna haya avanzado lo suficiente.
Investigadores independientes de seguridad informática alegaron que el incidente involucró específicamente cuatro archivos de lenguaje JavaScript alojados en la red de entrega de contenidos oficial de la editorial. Según los análisis técnicos, estos archivos fueron modificados el veintisiete de septiembre de dos mil veintiséis para inyectar código malicioso que descargaba componentes adicionales desde servidores controlados por los atacantes cada vez que los jugadores abrían el lanzador del juego. El código inyectado estaba oculto dentro de archivos legítimos y utilizaba técnicas de ofuscación para disfrazar los dominios de internet desde los cuales se descargaba el payload malicioso, alternando entre un dominio principal y uno de respaldo si el primero no estaba disponible.
El software malicioso descargado aprovechaba la funcionalidad nativa del lanzador para instalar un agente de acceso remoto conocido como K2F. Esta puerta trasera permitía a los intrusos ejecutar comandos de forma remota, navegar y descargar archivos locales, capturar capturas de pantalla y recopilar credenciales de cuentas del juego. Además, el malware tenía la capacidad de robar información almacenada en los navegadores web e incluso podía instalar un archivo de biblioteca de enlace dinámico malicioso diseñado para permanecer activo en el sistema operativo incluso después de que el usuario cerrara el lanzador del videojuego.
El análisis forense de las muestras del archivo malicioso reveló que el software contenía funcionalidades específicas para interceptar información sensible de billeteras de criptomonedas, incluyendo frases de recuperación y claves privadas de extensiones populares de navegadores. Aunque se confirmó la presencia de estas capacidades en el código, permanece incierto si los atacantes lograron desplegar este componente adicional en todos los sistemas infectados o si consiguieron sustraer fondos de criptomonedas de los jugadores antes de que se detectara la brecha. Algunos informes sugieren que varios usuarios encontraron el archivo dirigido al navegador Chrome en sus equipos.
Posteriormente, se observó que el dominio de respaldo utilizado por los atacantes comenzó a servir un código diferente que muestra una advertencia de seguridad dentro del lanzador del juego en múltiples idiomas. Este mensaje insta a los jugadores a cerrar inmediatamente el lanzador y abstenerse de abrir el cliente para PC hasta que la editorial confirme la resolución del problema. Sin embargo, la advertencia aclara que no se trata de un anuncio oficial de la compañía, lo que genera incertidumbre sobre quién controla actualmente dicho dominio o cuándo fue reemplazada la carga útil maliciosa original por este aviso de seguridad.