Il launcher per PC di Goddess of Victory: NIKKE hackerato per diffondere malware

a room with a table and chairs — Maciej Drążkiewicz / Unsplash

Gli sviluppatori di Goddess of Victory: NIKKE hanno confermato che degli hacker hanno manomesso gli script del launcher per PC del gioco attraverso un attacco alla catena di approvvigionamento, distribuendo un malware capace di rubare credenziali e dati di portafogli di criptovalute.

In un avviso pubblicato su X, l'azienda ha dichiarato di aver identificato un problema che indica che i file di script del launcher per PC potrebbero essere stati manomessi da terzi. Di conseguenza, il 4 novembre alle ore 02:30 UTC+9 sono stati implementati aggiornamenti e correzioni del client. L'azienda sta attualmente indagando sull'entità dell'impatto causato da questo incidente e fornirà ulteriori dettagli sulle misure di follow-up in un avviso separato.

Secondo un rapporto di MotherSphere, un ricercatore di sicurezza indipendente, l'incidente ha coinvolto quattro file JavaScript ospitati sulla rete di distribuzione dei contenuti ufficiale di Level Infinite. Tali file sarebbero stati modificati il 27 settembre 2026 per iniettare JavaScript malevoli che scaricavano codice aggiuntivo da server controllati dagli aggressori ogni volta che i giocatori aprivano il launcher. Il codice iniettato utilizzava l'offuscamento per nascondere i domini insightjs[.]com e insightjs[.]org.

L'analisi indica che il codice scaricato ha abusato delle funzionalità native del launcher per eseguire un payload LuaJIT chiamato insight.bundle, che ha installato un agente di accesso remoto denominato K2F. Questa backdoor ha permesso agli aggressori di eseguire comandi da remoto, navigare e scaricare file locali, acquisire screenshot, raccogliere credenziali dell'account NIKKE e rubare informazioni dai browser web.

Il malware supportava inoltre l'installazione di una DLL di Windows chiamata platform_experience_helper.dll, capace di rimanere attiva anche dopo la chiusura del launcher. L'analisi di questa DLL ha rivelato codice in grado di rubare dati di portafogli di criptovalute da estensioni del browser, tra cui MetaMask, Phantom e Coinbase Wallet, intercettando frasi di recupero e chiavi private. Non è tuttavia noto se questo componente sia stato effettivamente distribuito sui sistemi infetti o se siano state rubate criptovalute.

Il ricercatore sostiene che Level Infinite abbia sostituito tre dei file JavaScript impattati con versioni pulite il 3 novembre, ma che una copia manomessa del quarto file fosse ancora servita agli utenti fino alle 22:26 GMT. Questo suggerisce che almeno uno script compromesso potrebbe essere rimasto accessibile dopo l'aggiornamento del client. È stato inoltre segnalato che il dominio di backup insightjs[.]org mostra ora un avviso di sicurezza in diverse lingue, che invita i giocatori a chiudere il launcher, sebbene non sia chiaro chi controlli attualmente il dominio.