Взлом лаунчера NIKKE затронул цепочку доставки обновлений популярной игры: злоумышленники подменили JavaScript-файлы на официальном CDN и получили возможность загружать на компьютеры игроков бэкдор и стилер. Для русскоязычных разработчиков и ИБ-команд это очередное напоминание: доверенный апдейтер — не просто удобный канал обновлений, а привилегированный компонент, компрометация которого обходит привычную осторожность пользователя.
Разработчики Goddess of Victory: NIKKE сообщили о возможной подмене скриптов PC Launcher и выпустили исправление 4 ноября примерно в 02:30 по UTC+9. По данным BleepingComputer, атака была не единичной подменой страницы или фишинговой рассылкой: вредоносный код находился в файлах, которые лаунчер получал с инфраструктуры издателя Level Infinite.
Goddess of Victory: NIKKE — научно-фантастическая shooter-RPG от южнокорейской Shift Up, доступная на Windows, iOS и Android. Издатель ранее сообщал о более чем 45 млн загрузок игры с момента запуска в 2022 году. Не все эти установки относятся к ПК-версии, но масштаб аудитории хорошо показывает, почему игровой лаунчер остаётся привлекательной целью: он регулярно запускается, работает с сетью и уже пользуется доверием владельца компьютера.
Скрипт на CDN стал точкой входа
Независимый исследователь MotherSphere описал четыре JavaScript-файла на официальном CDN Level Infinite, в которые, по его данным, вредоносный код внесли ещё 27 сентября 2026 года. Обфусцированный загрузчик обращался к доменам insightjs[.]com и insightjs[.]org, используя второй как резервный, если первый был недоступен. BleepingComputer изучил два изменённых файла и подтвердил наличие механизма, который скачивал и запускал дополнительный код.
Дальше схема использовала штатные возможности лаунчера. Загруженный код получал LuaJIT-пейлоад insight.bundle, а тот устанавливал агент удалённого доступа, обозначенный исследователем как K2F. Такой агент позволяет исполнять команды на машине, просматривать и выгружать локальные файлы, делать снимки экрана, собирать данные из браузеров и учётные данные NIKKE. Игровой клиент в этой цепочке выступал фактически как подписанный курьер для чужого кода.
Особенно неприятная деталь — поддержка команды на установку DLL-файла platform_experience_helper.dll. Предположительно, компонент мог оставаться активным после закрытия лаунчера. В образце DLL, загруженном на VirusTotal, журналисты нашли строки, указывающие на кражу данных криптокошельков из браузерных расширений, включая MetaMask, Phantom и Coinbase Wallet. Речь идёт в том числе о seed-фразах и приватных ключах. При этом подтверждений, что DLL доставили всем или части жертв, а также что криптоактивы действительно были похищены, пока нет.
Компания, по сведениям исследователя, 3 ноября заменила три скомпрометированных скрипта чистыми версиями. Однако копия четвёртого файла, как утверждается, продолжала отдаваться пользователям ещё 3 ноября в 22:26 по GMT. Это важная деталь для расследования: выпуск исправленного клиента сам по себе не гарантирует, что все точки раздачи контента уже синхронизированы и не выдают старый объект из CDN-кэша.
Что проверять игрокам и командам разработки
Один из индикаторов компрометации — строка k2f_chan в файле Launcher/intl_service/debug.log внутри каталога установки NIKKE. Её наличие говорит, что вредоносный Lua-агент запускался, но не доказывает загрузку DLL и кражу данных. Потенциально затронутым игрокам рекомендуется прекратить запуск ПК-клиента до подтверждения устранения проблемы, выполнить полную проверку актуальным антивирусом, а при подтверждённом заражении — переустановить Windows и сменить пароли с заведомо чистого устройства.
Для команд, создающих десктопные клиенты, взлом лаунчера NIKKE — практический кейс о защите цепочки поставок. Скрипты, отдаваемые CDN, должны рассматриваться как исполняемый код с теми же требованиями к контролю изменений, журналированию и проверке целостности, что и бинарные релизы. Нужны ограниченные права публикации, двухэтапное одобрение, мониторинг неожиданных изменений, короткий путь отката и независимая проверка того, что CDN во всех регионах отдаёт ожидаемые хеши. Обфускация в легитимном клиентском коде тоже заслуживает отдельного сигнала в мониторинге: она удобна не только разработчикам, но и тем, кто хочет спрятать загрузчик.
Ситуация показывает, что граница между игровой инфраструктурой и корпоративным риском становится тоньше: разработчики нередко запускают игры на тех же ПК, где хранят рабочие токены, ключи и доступы к облакам. Главный открытый вопрос — успели ли атакующие задействовать модуль кражи кошельков и как долго заражённый скрипт был доступен из разных CDN-узлов. Технические артефакты и детали исследования собраны в материале ; для индустрии же вывод уже ясен: защита билд-пайплайна без контроля последней мили доставки обновлений оставляет опасную дыру.
