Los desarrolladores de Goddess of Victory: NIKKE confirmaron que terceros podrían haber manipulado scripts del lanzador del juego para PC. La empresa editora dijo que publicó una corrección y una actualización del cliente el 4 de noviembre, aproximadamente a las 02:30 UTC+9, mientras continúa investigando el impacto del incidente.
La empresa no ha compartido más detalles técnicos. El investigador de seguridad independiente MotherSphere informó en GitHub que cuatro archivos JavaScript alojados en la red de distribución de contenido de Level Infinite fueron alterados para descargar código adicional cuando los jugadores abrían el lanzador. El investigador dijo que los archivos habían sido modificados el 27 de septiembre de 2026.
Un análisis de BleepingComputer descubrió que dos de los archivos contenían código ofuscado diseñado para obtener y ejecutar otros scripts desde dominios controlados por los atacantes. MotherSphere dijo que el código descargado utilizaba el lanzador para ejecutar una carga útil de LuaJIT que instalaba una herramienta de acceso remoto identificada como K2F.
Según el análisis del investigador, la puerta trasera podría permitir a los atacantes ejecutar comandos de forma remota, explorar y descargar archivos, tomar capturas de pantalla, recopilar las credenciales de las cuentas de NIKKE y obtener información almacenada en los navegadores. También podría instalarse una DLL independiente de Windows, que seguiría activa después de cerrar el lanzador. El análisis de una muestra de la DLL indicó que podía buscar datos de monederos de criptomonedas en extensiones de navegador, incluidas frases de recuperación y claves privadas. Se desconoce si ese componente se desplegó en sistemas afectados o si se robó alguna criptomoneda.
MotherSphere dijo que Level Infinite reemplazó tres archivos JavaScript afectados el 3 de noviembre, pero afirmó que a las 22:26 GMT todavía se distribuía una versión modificada del cuarto archivo. El investigador también identificó un posible indicador de infección: la cadena “k2f_chan” en el archivo Launcher/intl_service/debug.log del juego. Su presencia indica que se ejecutó el agente Lua, pero no permite determinar si también se cargó la DLL.
BleepingComputer informó que, más tarde, el dominio de respaldo asociado a los scripts mostraba una advertencia en varios idiomas que decía a los jugadores que cerraran el lanzador y no volvieran a abrir el cliente para PC hasta que la empresa editora confirmara que el problema se había resuelto. La advertencia no era un anuncio oficial de la empresa editora y no está claro quién controla el dominio ni cuándo se reemplazó el código malicioso.
Los jugadores que podrían haberse visto afectados deberían realizar un análisis completo con un antivirus actualizado. El informe recomienda que cualquier persona que encuentre indicios de un compromiso reinstale Windows y cambie las contraseñas y otras credenciales confidenciales desde un dispositivo limpio.
Fuentes: BleepingComputer.