NIKKE-PC-Launcher kompromittiert und zur Verbreitung von Malware verwendet, die Daten stehlen kann

Die Entwickler von Goddess of Victory: NIKKE haben bestätigt, dass Dritte möglicherweise Skripte im PC-Launcher des Spiels manipuliert haben. Der Publisher teilte mit, dass am 4. November gegen 02:30 Uhr UTC+9 eine Fehlerbehebung und ein Update für den Client veröffentlicht wurden, während die Untersuchung der Auswirkungen des Vorfalls weiterläuft.

Das Unternehmen hat keine weiteren technischen Einzelheiten bekannt gegeben. Der unabhängige Sicherheitsforscher MotherSphere berichtete auf GitHub, dass vier JavaScript-Dateien auf dem Content Delivery Network von Level Infinite so verändert worden seien, dass sie beim Öffnen des Launchers durch Spieler zusätzlichen Code herunterluden. Dem Forscher zufolge waren die Dateien am 27. September 2026 verändert worden.

Eine Analyse von BleepingComputer ergab, dass zwei der Dateien verschleierten Code enthielten, der dafür ausgelegt war, weitere Skripte von durch Angreifer kontrollierten Domains abzurufen und auszuführen. MotherSphere zufolge nutzte der heruntergeladene Code den Launcher, um eine LuaJIT-Nutzlast auszuführen, die ein Fernzugriffswerkzeug mit der Bezeichnung K2F installierte.

Laut der Analyse des Forschers könnte die Hintertür Angreifern ermöglichen, aus der Ferne Befehle auszuführen, Dateien zu durchsuchen und herunterzuladen, Screenshots anzufertigen, Zugangsdaten für NIKKE-Konten zu sammeln und in Browsern gespeicherte Informationen abzurufen. Außerdem könnte eine separate Windows-DLL installiert werden, die auch nach dem Schließen des Launchers aktiv bleibt. Eine Analyse einer DLL-Probe deutete darauf hin, dass sie auf Daten von Kryptowährungs-Wallets in Browser-Erweiterungen abzielen könnte, darunter Wiederherstellungsphrasen und private Schlüssel. Es ist nicht bekannt, ob diese Komponente auf betroffenen Systemen eingesetzt wurde oder ob Kryptowährungen gestohlen wurden.

MotherSphere zufolge ersetzte Level Infinite am 3. November drei betroffene JavaScript-Dateien. Der Forscher behauptete jedoch, dass um 22:26 GMT weiterhin eine veränderte Version der vierten Datei ausgeliefert wurde. Der Forscher identifizierte außerdem einen möglichen Hinweis auf eine Infektion: die Zeichenfolge „k2f_chan“ in der Datei Launcher/intl_service/debug.log des Spiels. Ihr Vorhandensein zeigt an, dass der Lua-Agent ausgeführt wurde, belegt jedoch nicht, ob auch die DLL geladen wurde.

BleepingComputer berichtete, dass die mit den Skripten verbundene Backup-Domain später eine mehrsprachige Warnung auslieferte, in der Spieler aufgefordert wurden, den Launcher zu schließen und den PC-Client nicht erneut zu öffnen, bis der Publisher bestätigt habe, dass das Problem behoben sei. Die Warnung war keine offizielle Mitteilung des Publishers. Es ist unklar, wer die Domain kontrolliert und wann der schädliche Code ersetzt wurde.

Spieler, die möglicherweise betroffen waren, sollten mit aktualisierter Antivirensoftware einen vollständigen Scan durchführen. Der Bericht empfiehlt allen, die Anzeichen einer Kompromittierung finden, Windows neu zu installieren und Passwörter sowie andere sensible Zugangsdaten von einem sauberen Gerät aus zu ändern.

Quellen: BleepingComputer.