Лаунчер NIKKE тащил бэкдор K2F. Скрипты на CDN правили с 27 сентября

Level Infinite - игровое подразделение Tencent, которое издаёт Goddess of Victory: NIKKE, шутер про девушек-андроидов с гача-механикой и миллионами загрузок. 4 ноября 2026 компания сообщила, что третья сторона подменила скрипты Windows-лаунчера на официальной сети доставки контента (CDN - серверы, с которых игра качает файлы). Кто хотя бы раз открывал клиент на компьютере после 27 сентября, мог запустить чужой код вместе с привычной кнопкой «играть». Мобильные игроки, по заявлению издателя, не затронуты. Это касается любого, у кого NIKKE стоит на Windows, в том числе через Steam Deck и Proton: пароли браузера и криптокошельки оказываются в одной куче с аккаунтом командира.

Что именно сломали и когда

По официальной шкале Level Infinite всё началось 27 сентября в 10:59 по корейскому времени. Домен insightjs.com, который использовали отдельные игровые сервисы, захватили посторонние. В тот же день, около 15:41, через него частично изменили четыре JavaScript-файла, которые лаунчер подгружает с CDN playerinfinite.com. Издатель утверждает, что раздача вредоносных программ на компьютеры игроков пошла с 30 октября, 03:52. Аномалию заметили около полуночи 4 ноября, к утру заменили три файла, днём обновили кэш четвёртого.

Независимый разбор исследователя под ником MotherSphere сдвигает картину. По его логам агент удалённого управления мог стартовать уже 23 октября. Четыре официальных скрипта на CDN правили с 27 сентября. Пока издатель чинил узлы, часть серверов ещё отдавала старую копию. Для игрока это значит одно: окно риска шире, чем пресс-релиз. Цифры заражённых машин компания к 9 ноября не назвала.

Почему это не «скачал левый мод»

Атака шла по цепочке поставок. Никто не слал фишинговые письма и не просил поставить чит. Лаунчер, которому ты доверяешь после установки с официального сайта, сам тянул подменённый код с «своих» адресов. Так проще обойти антивирус: файл выглядит как часть игры.

На практике лаунчер грузил JS, тот тянул загрузчик с захваченного домена, затем в процесс игры попадал агент на LuaJIT под именем K2F. Он жил, пока лаунчер открыт. Отдельный DLL, по разбору аналитиков, мог остаться после закрытия клиента и искать расширения кошельков вроде MetaMask, Phantom и Coinbase Wallet. Мобильный клиент эту цепочку не использует.

Что умел бэкдор, если он уже сидел

По анализу MotherSphere и обзорам Malwarebytes агент умел выполнять команды в системе, листать папки, скачивать файлы, снимать скриншоты, собирать пароли и cookies браузера, искать токены разработчика и данные крипторасширений. Это не «украли ник в NIKKE». Это доступ к почте, Discord, банку в браузере и сид-фразе, если кошелёк стоял в Chrome.

Издатель к 8 ноября не публиковал отчёт о масштабе утечки. В открытых тредах исследователи не видели пачки подтверждённых угонов аккаунтов и украденного крипто, но отсутствие громких постов не равно нулю жертв. Человек с заражённым ПК мог сам не связать странный вход в почту с кнопкой лаунчера.

Кто в зоне риска, а кто нет

Риск есть у тех, кто запускал Windows PC-лаунчер хотя бы раз после 15:41 27 сентября по Корее (это около 09:41 по Москве того дня). Сюда входят обычный клиент, сборка Google Play Games и запуск через Proton на Linux и Steam Deck: кэш tbs_cache может хранить те же скрипты. Телефон и планшет, если игру не открывали с ПК, по заявлению Level Infinite в стороне.

Игра качается десятками миллионов, но PC-аудитория меньше мобильной. Именно она получила удар. Если NIKKE у тебя только в кармане, достаточно не ставить лаунчер «на всякий случай» с чужого архива. Если ПК был открыт в октябре - считай машину подозрительной, пока не проверишь.

Как проверить компьютер без паники

С 5 ноября официальный клиент при старте предлагает найти и удалить следы этой кампании. Издатель просит перед проверкой закрыть лаунчер, игру и все браузеры, включая Chrome. Отдельно выложили ручную инструкцию: не открывать клиент, пока не скопируешь логи и папку кэша, если хочешь сохранить улики. Сообщество советует полный скан антивирусом; Malwarebytes в отчётах игроков ловил следы как Trojan.Loader.K2F и Trojan.Trace.K2F.

1. Закрой лаунчер и браузеры.
2. Сделай полную проверку Windows Security или проверенным антивирусом, затем Offline Scan.
3. Пароли и почту меняй с другого, чистого устройства, не с того же ПК.
4. Если пользовался крипторасширением в браузере на этой машине, с чистого устройства переведи средства на новый кошелёк с новой фразой восстановления.
5. О сбоях аккаунта и пропаже денег пиши в официальную поддержку Level Infinite, не в «помощников» из чатов.

Обновление лаунчера само по себе не всегда чистит tbs_cache. Исследователи видели следы загрузчика уже после патча. Не ставь «чистильщики», которые сами прислали незнакомцы в Discord.

Деньги, аккаунты и что обещает издатель

Level Infinite извинилась, пообещала внутриигровую компенсацию и приём жалоб на «вторичный ущерб»: взломанная почта, чужой вход, пропажа средств. Сколько выплатят и по каким правилам, в ноябре ещё не расписали. Не отправляй в саппорт скрины сид-фразы и полные логи с паролями.

Практический минимум: уникальные пароли, вход в NIKKE и почту через приложение-аутентификатор, не через SMS. Кошельки лучше держать не в том браузере, которым сидишь в лаунчере. Если сид когда-то светился на заражённом ПК, считай его сожжённым.

Зачем игроку эта история, даже если NIKKE не стоит

Лаунчеры стали отдельной операционной системой: античит, магазин, голосовой чат, веб-движок внутри. Один скомпрометированный CDN бьёт всех, кто нажал «обновить». Тот же класс атак уже светился у других клиентов, но здесь цепочка короткая и документированная: чужой домен, четыре JS, агент в процессе игры.

Для широкой аудитории вывод простой. «Официальный клиент» не равен «безопасный компьютер». Пока издатель не считает заражённых, разумнее исходить из того, что октябрьский запуск лаунчера - повод проверить пароли, а не ждать письмо «вас взломали». Мобильная версия в этот раз спасла, следующая дыра может быть в другом месте.

Источники

Официальная хронология и гайд проверки - у издателя и зеркал объявления. Техническая картина агента K2F - у MotherSphere и разборов Malwarebytes и Ostorlab. Расхождения дат (23 октября против 30-го) лучше держать в голове: компания описывает свою детекцию, исследователи - следы на машинах игроков.