El launcher de PC de NIKKE repartió malware durante semanas: un agente de acceso remoto iba a por contraseñas y carteras cripto

Goddess of Victory: NIKKE ha confirmado un ataque de cadena de suministro contra sus jugadores de PC. El equipo del juego anunció en X que los scripts de su launcher «pueden haber sido manipulados por un tercero», aplicó correcciones y una actualización del cliente hoy, 4 de noviembre, a las 02:30 (UTC+9), y sigue investigando el alcance. El consejero delegado de Shift Up, Kim Hyung-tae, se disculpó hoy en X: trabajan con la editora Level Infinite movilizando «todos nuestros recursos» para una solución de fondo.

Lo que había dentro lo destapó el investigador independiente MotherSphere en un informe técnico publicado en GitHub el 3 de noviembre. Según su análisis, cuatro archivos JavaScript del CDN oficial de Level Infinite fueron alterados el 27 de septiembre para inyectar código ofuscado que, cada vez que un jugador abría el launcher, descargaba código adicional desde servidores del atacante. BleepingComputer examinó por su cuenta dos de los archivos manipulados y confirmó ese cargador ofuscado.

La carga final, según el investigador, abusaba de funciones nativas del launcher para ejecutar un paquete LuaJIT que instalaba K2F, un agente de acceso remoto: con el launcher abierto, el atacante podía ejecutar comandos, descargar archivos, capturar la pantalla y robar las credenciales de NIKKE y los datos del navegador. El malware admitía además una DLL, platform_experience_helper.dll, capaz de seguir activa tras cerrar el launcher; BleepingComputer analizó una muestra subida a VirusTotal y halló código para robar datos de carteras cripto como MetaMask, Phantom y Coinbase Wallet, incluidas frases de recuperación y claves privadas.

Las incógnitas siguen siendo grandes. No se sabe cuántos jugadores resultaron afectados, ni si los atacantes desplegaron la DLL o robaron criptomonedas: no hay confirmación de robos. El investigador sostiene que Level Infinite sustituyó el 3 de noviembre tres archivos por versiones limpias, pero que una copia manipulada del cuarto seguía sirviéndose horas después, y que la exposición pudo empezar el 24 de octubre.

Para quien jugó en PC estas semanas hay una comprobación concreta: buscar «k2f_chan registered» en el archivo Launcher/intl_service/debug.log de la instalación; si aparece, el agente se ejecutó en ese equipo, y toca antivirus completo, cambio de contraseñas desde un dispositivo limpio y revisión de las carteras. El juego, un shooter RPG lanzado en 2022 para Windows, iOS y Android, supera los 45 millones de descargas según su editora: el launcher oficial era el último sitio donde un jugador esperaba un troyano.