Безопасность · 7 ноября 2026 г.
Также опубликовано на العربية, हिन्दी, Italiano, Svenska, Español, Nederlands, Polski, Português (Brasil)
Взлом загрузчика NIKKE привел к распространению вредоносного ПО для кражи данных
Разработчики игры Goddess of Victory: NIKKE подтвердили, что злоумышленники внесли изменения в скрипты компьютерного загрузчика в рамках атаки на цепочку поставок. В результате были распространены вредоносные программы, способные похищать учетные данные и данные криптографических кошельков.
Обновление клиента было выпущено 4 ноября в 02:30 по часовому поясу UTC +9 для устранения проблемы. В заявлении на платформе X указано, что были выявлены признаки вмешательства третьей стороны в файлы скриптов загрузчика. Разработчики сообщили о реализации исправлений и продолжают выяснять масштаб последствий. Подробности о дальнейших мерах будут предоставлены в отдельном уведомлении.
Игра является популярным научно-фантастическим шутером в жанре ролевой игры, разработанным южнокорейской компанией Shift Up для платформ Windows, iOS и Android. Издатель Level Infinite сообщил о более чем 45 миллионах загрузок с момента запуска в 2022 году, а сервис Google Play фиксирует 10 миллионов загрузок.
Независимый исследователь безопасности MotherSphere утверждает, что инцидент касался четырех файлов JavaScript, размещенных на официальном сетевом хостинге Level Infinite. По данным исследователя, файлы были изменены 27 сентября 2026 года для внедрения вредоносного кода. Этот код загружал дополнительные инструкции с серверов злоумышленников при каждом открытии загрузчика. Внедренный код был скрыт в легитимных файлах и использовал маскировку для сокрытия доменных имен insightjs[.]com и insightjs[.]org.
Анализ двух измененных файлов подтвердил наличие маскированного загрузчика, предназначенного для получения и выполнения кода с указанных доменов. Скачанный код использовал встроенные функции загрузчика для загрузки вредоносного файла insight.bundle, который устанавливал агент удаленного доступа K2F. Эта программа позволяла удаленно выполнять команды, просматривать файлы, делать скриншоты и собирать учетные данные аккаунтов NIKKE.
Вредоносное ПО также поддерживало установку вредоносной библиотеки platform_experience_helper.dll, которая могла оставаться активной после закрытия загрузчика. Анализ строк из образца библиотеки показал возможность кражи данных криптографических кошельков из расширений браузеров, включая MetaMask, Phantom и Coinbase Wallet. Библиотека содержала функции перехвата фраз восстановления и частных ключей. Неизвестно, удалось ли злоумышленникам успешно украсть криптовалюту.
Исследователь утверждает, что три файла были заменены на чистые версии 3 ноября, но измененная копия четвертого файла, по сообщениям, продолжала обслуживаться для пользователей. Это предполагает, что хотя бы один скомпрометированный скрипт мог оставаться доступным после обновления. Исследователь поделился индикаторами компрометации для проверки систем. Одной из таких меток является строка k2f_chan в файле журнала. Резервный домен insightjs[.]org теперь отображает предупреждение о безопасности на нескольких языках, советуя закрыть загрузчик. Неясно, кто управляет этим доменом.