Gli sviluppatori di Goddess of Victory: NIKKE hanno confermato che terze parti potrebbero aver manomesso gli script del launcher del gioco per PC. L’editore ha dichiarato che una correzione e un aggiornamento del client sono stati rilasciati il 4 novembre alle 02:30 circa UTC+9, mentre prosegue un’indagine sull’impatto dell’incidente.
L’azienda non ha condiviso ulteriori dettagli tecnici. Il ricercatore indipendente di sicurezza MotherSphere ha riferito su GitHub che quattro file JavaScript ospitati sulla rete di distribuzione dei contenuti di Level Infinite erano stati modificati per scaricare codice aggiuntivo all’apertura del launcher da parte dei giocatori. Secondo il ricercatore, i file erano stati alterati il 27 settembre 2026.
Un’analisi di BleepingComputer ha rilevato che due dei file contenevano codice offuscato, progettato per recuperare ed eseguire altri script da domini controllati dagli aggressori. MotherSphere ha affermato che il codice scaricato sfruttava il launcher per eseguire un payload LuaJIT che installava uno strumento di accesso remoto identificato come K2F.
Secondo l’analisi del ricercatore, la backdoor avrebbe potuto consentire agli aggressori di eseguire comandi da remoto, consultare e scaricare file, acquisire schermate, raccogliere le credenziali degli account NIKKE e ottenere informazioni archiviate nei browser. Era inoltre possibile installare una DLL separata per Windows, che sarebbe rimasta attiva anche dopo la chiusura del launcher. L’analisi di un campione della DLL ha indicato che avrebbe potuto prendere di mira i dati dei wallet di criptovalute nelle estensioni del browser, comprese le frasi di recupero e le chiavi private. Non è noto se tale componente sia stato distribuito sui sistemi interessati o se siano state rubate criptovalute.
MotherSphere ha affermato che Level Infinite ha sostituito tre file JavaScript interessati il 3 novembre, ma ha dichiarato che alle 22:26 GMT veniva ancora distribuita una versione modificata del quarto file. Il ricercatore ha inoltre individuato un possibile indicatore di infezione: la stringa “k2f_chan” nel file Launcher/intl_service/debug.log del gioco. La sua presenza indica che l’agente Lua è stato eseguito, ma non dimostra che sia stata caricata anche la DLL.
BleepingComputer ha riferito che il dominio di backup associato agli script in seguito mostrava un avviso multilingue che invitava i giocatori a chiudere il launcher e a non riaprire il client per PC finché l’editore non avesse confermato la risoluzione del problema. L’avviso non era un comunicato ufficiale dell’editore e non è chiaro chi controlli il dominio né quando sia stato sostituito il codice dannoso.
I giocatori che potrebbero essere stati interessati dovrebbero eseguire una scansione completa con un antivirus aggiornato. Il rapporto raccomanda a chiunque trovi prove di una compromissione di reinstallare Windows e cambiare le password e le altre credenziali sensibili da un dispositivo sicuro.
Fonti: BleepingComputer.