PC-лаунчер Goddess of Victory: NIKKE от Shift Up и Level Infinite оказался заражён вредоносным кодом. Злоумышленники изменили несколько официальных javascript-файлов на CDN Level Infinite, которые лаунчер подгружает при каждом запуске. Через них на компьютеры игроков попадал агент удалённого управления. Как злоумышленники получили доступ к серверам, пока неизвестно.
Первыми тревогу подняли игроки китайского форума NGA, а 3 ноября подробный технический разбор опубликовали на GitHub. Согласно разбору, файлы изменили ещё 27 сентября. Вредоносный агент запускался самое позднее с 1 ноября, по отдельным сообщениям — уже с 24 октября, причём не при каждом открытии лаунчера. 3 ноября Level Infinite заменила изменённые файлы, но часть серверов CDN ещё какое-то время раздавала заражённые копии. Атака совпала с празднованием четырёхлетия игры.
Возможности вируса широкие. Пока лаунчер открыт, злоумышленник может выполнять на компьютере любые команды, читать и скачивать файлы и делать скриншоты всех мониторов. Агент крадёт сохранённые в браузере пароли, данные из диспетчера учётных данных Windows, SSH-ключи, токены облачных и ИИ-сервисов, а также данные 28 браузерных криптокошельков. На Windows с Chrome он закрепляется в системе и работает даже после закрытия лаунчера. Под угрозой и владельцы Linux и Steam Deck, запускающие игру через Proton.
Проверить заражение можно самостоятельно: в папке с игрой найти файл Launcher/intl_service/debug.log и поискать строку k2f_chan — она означает, что агент запускался. До официального подтверждения исправления автор разбора советует не открывать лаунчер и очистить его кэш. При подтверждённом заражении с другого чистого устройства стоит сменить пароли, включить двухфакторную аутентификацию, завершить все активные сеансы, отозвать токены и ключи, а криптовалюту перевести в новый кошелёк. Редакция сайта geekfan.site напоминает: проверьте свой debug.log. Сталкивались ли вы с заражением через лаунчер?
