В PC-лаунчере Goddess of Victory: NIKKE обнаружили изменённые скрипты. Они могли загружать вредоносный код и запускать его на компьютере игрока. Разработчики выпустили исправление 4 ноября около 02:30 по японскому времени.
По данным исследователя MotherSphere, злоумышленники изменили четыре JavaScript-файла, размещённых в официальной CDN-инфраструктуре Level Infinite. Изменения обнаружили в файлах, которые, предположительно, были модифицированы 27 сентября.
Вредоносный код загружался с доменов insightjs.com и insightjs.org. Затем лаунчер запускал LuaJIT-компонент insight.bundle, связанный с удалённым доступом K2F.
Компонент мог выполнять команды, просматривать и скачивать файлы, делать снимки экрана, а также собирать данные аккаунта NIKKE и сохранённые в браузерах учётные данные.
В образце дополнительной DLL нашли функции для поиска данных криптокошельков в расширениях браузера, включая MetaMask, Phantom и Coinbase Wallet. Неизвестно, устанавливали ли эту DLL на компьютеры игроков и были ли похищены средства.
Проверить один из признаков запуска вредоносного Lua-компонента можно в файле Launcher/intl_service/debug.log в папке NIKKE. Строка k2f_chan означает, что компонент запускался, но не подтверждает загрузку DLL.
После повторного запуска лаунчер может удалить следы заражения. При подозрении на компрометацию стоит до запуска игры сохранить файл Launcher/intl_service/debug.log и каталог tbs_cache, затем выполнить полную проверку Windows обновлённым антивирусом.
Пароли и другие важные данные после возможного заражения рекомендуют менять с чистого устройства. При подтверждённой компрометации исследователи советуют переустановить Windows. Владельцам криптокошельков стоит проверить операции и при необходимости перевести средства с безопасного устройства.
