Les développeurs de Goddess of Victory: NIKKE ont confirmé que des tiers avaient peut-être modifié des scripts du lanceur PC du jeu. L’éditeur a déclaré qu’un correctif et une mise à jour du client avaient été publiés le 4 novembre vers 02 h 30 UTC+9, tandis que l’enquête sur les conséquences de l’incident se poursuit.

L’entreprise n’a pas communiqué d’autres détails techniques. Le chercheur indépendant en sécurité MotherSphere a signalé sur GitHub que quatre fichiers JavaScript hébergés sur le réseau de diffusion de contenu de Level Infinite avaient été modifiés pour télécharger du code supplémentaire lorsque les joueurs ouvraient le lanceur. Selon le chercheur, les fichiers avaient été modifiés le 27 septembre 2026.

Une analyse de BleepingComputer a révélé que deux des fichiers contenaient du code obfusqué conçu pour récupérer et exécuter d’autres scripts depuis des domaines contrôlés par des attaquants. MotherSphere a déclaré que le code téléchargé utilisait le lanceur pour exécuter une charge utile LuaJIT qui installait un outil d’accès à distance identifié comme K2F.

D’après l’analyse du chercheur, la porte dérobée pouvait permettre aux attaquants d’exécuter des commandes à distance, de parcourir et télécharger des fichiers, de prendre des captures d’écran, de recueillir les identifiants des comptes NIKKE et d’obtenir des informations stockées dans les navigateurs. Une DLL Windows distincte pouvait également être installée et rester active après la fermeture du lanceur. L’analyse d’un échantillon de DLL a indiqué qu’elle pouvait cibler les données de portefeuilles de cryptomonnaies dans les extensions de navigateur, notamment les phrases de récupération et les clés privées. On ignore si ce composant a été déployé sur les systèmes concernés ou si des cryptomonnaies ont été dérobées.

MotherSphere a déclaré que Level Infinite avait remplacé trois fichiers JavaScript concernés le 3 novembre, mais a affirmé qu’une version modifiée du quatrième était toujours diffusée à 22 h 26 GMT. Le chercheur a également identifié un éventuel indicateur d’infection : la chaîne « k2f_chan » dans le fichier Launcher/intl_service/debug.log du jeu. Sa présence indique que l’agent Lua s’est exécuté, mais ne permet pas de déterminer si la DLL a également été chargée.

BleepingComputer a rapporté que le domaine de secours associé aux scripts affichait ensuite un avertissement en plusieurs langues demandant aux joueurs de fermer le lanceur et de ne pas rouvrir le client PC avant que l’éditeur confirme la résolution du problème. Cet avertissement ne constituait pas une annonce officielle de l’éditeur, et l’on ignore qui contrôle le domaine ou à quel moment le code malveillant a été remplacé.

Les joueurs susceptibles d’avoir été concernés devraient effectuer une analyse complète avec un antivirus à jour. Le rapport recommande à toute personne trouvant des signes de compromission de réinstaller Windows et de modifier ses mots de passe ainsi que ses autres identifiants sensibles depuis un appareil sain.

Sources: BleepingComputer.