Os desenvolvedores de Goddess of Victory: NIKKE confirmaram que terceiros podem ter adulterado scripts no launcher do jogo para PC. A publicadora informou que uma correção e atualização do cliente foram lançadas em 4 de novembro, aproximadamente às 02:30 UTC+9, enquanto continua investigando o impacto do incidente.
A empresa não compartilhou mais detalhes técnicos. O pesquisador independente de segurança MotherSphere relatou no GitHub que quatro arquivos JavaScript hospedados na rede de distribuição de conteúdo da Level Infinite foram alterados para baixar código adicional quando os jogadores abrissem o launcher. O pesquisador afirmou que os arquivos haviam sido modificados em 27 de setembro de 2026.
Uma análise da BleepingComputer constatou que dois dos arquivos continham código ofuscado, projetado para buscar e executar outros scripts em domínios controlados pelos invasores. MotherSphere afirmou que o código baixado usava o launcher para executar uma carga maliciosa LuaJIT que instalava uma ferramenta de acesso remoto identificada como K2F.
Segundo a análise do pesquisador, a porta dos fundos poderia permitir que os invasores executassem comandos remotamente, navegassem pelos arquivos e os baixassem, fizessem capturas de tela, coletassem credenciais de contas de NIKKE e obtivessem informações armazenadas nos navegadores. Também poderia ser instalada uma DLL separada do Windows, que continuaria ativa depois que o launcher fosse fechado. A análise de uma amostra da DLL indicou que ela poderia visar dados de carteiras de criptomoedas em extensões de navegador, incluindo frases de recuperação e chaves privadas. Não se sabe se esse componente foi implantado em sistemas afetados nem se alguma criptomoeda foi roubada.
MotherSphere afirmou que a Level Infinite substituiu três arquivos JavaScript afetados em 3 de novembro, mas alegou que uma versão modificada do quarto ainda estava sendo distribuída às 22:26 GMT. O pesquisador também identificou um possível indicador de infecção: a sequência “k2f_chan” no arquivo Launcher/intl_service/debug.log do jogo. Sua presença indica que o agente Lua foi executado, mas não confirma se a DLL também foi carregada.
A BleepingComputer informou que o domínio de backup associado aos scripts posteriormente exibia um aviso em vários idiomas, orientando os jogadores a fechar o launcher e não reabrir o cliente para PC até que a publicadora confirmasse a resolução do problema. O aviso não era um comunicado oficial da publicadora, e não está claro quem controla o domínio nem quando o código malicioso foi substituído.
Os jogadores que possam ter sido afetados devem executar uma verificação completa com um software antivírus atualizado. A reportagem recomenda que qualquer pessoa que encontre indícios de comprometimento reinstale o Windows e altere senhas e outras credenciais confidenciais usando um dispositivo limpo.
Fontes: BleepingComputer.