De PC-launcher van Goddess of Victory: NIKKE is gehackt via een supply-chain aanval, waarbij malware werd verspreid die toegang op afstand en diefstal van gegevens mogelijk maakt.
De ontwikkelaars van Goddess of Victory: NIKKE hebben bevestigd dat de PC-launcher van het spel is gehackt in een supply-chain aanval. Hierbij werden de scripts van de launcher aangepast om malware te verspreiden die in staat is om inloggegevens en gegevens van cryptocurrency wallets te stelen.
Volgens een bericht op X werd op 4 november om 02:30 (UTC+9) een update uitgebracht om het probleem te verhelpen. In de verklaring staat dat er aanwijzingen zijn dat de scriptbestanden van de PC-launcher door een derde partij zijn gemanipuleerd. Het bedrijf onderzoekt momenteel de omvang van de impact en zal later aanvullende maatregelen communiceren.
Goddess of Victory: NIKKE is een populaire sci-fi shooter RPG ontwikkeld door het Zuid-Koreaanse Shift Up en beschikbaar voor Windows, iOS en Android. De uitgever Level Infinite meldde sinds de lancering in 2022 meer dan 45 miljoen downloads, waarvan 10 miljoen via Google Play.
Volgens een rapport op GitHub van een onafhankelijke securityonderzoeker werden vier JavaScript-bestanden op het officiële content delivery network van Level Infinite aangepast. Op 27 september 2026 werd kwaadaardige JavaScript geïnjecteerd die extra code downloadde van door aanvallers beheerde servers zodra de launcher werd geopend. De schadelijke code was verborgen in legitieme bestanden en gebruikte obfuscatie om de domeinen insightjs[.]com en insightjs[.]org te verbergen.
Analyse door BleepingComputer bevestigde dat twee van de aangepaste scripts een obfuscated loader bevatten die extra code van deze domeinen ophaalde en uitvoerde. De gedownloade code misbruikte de functionaliteit van de launcher om een kwaadaardige LuaJIT payload te laden, genaamd insight.bundle, die een remote-access agent installeerde met de naam K2F. Deze backdoor gaf aanvallers de mogelijkheid om commando's op afstand uit te voeren, lokale bestanden te bekijken en te downloaden, screenshots te maken, NIKKE-accountgegevens te verzamelen en informatie uit webbrowsers te stelen.
Daarnaast ondersteunde de malware een commando om een kwaadaardige Windows DLL te installeren, platform_experience_helper.dll, die actief kon blijven nadat de launcher was gesloten. Analyse van een DLL-sample op VirusTotal toonde aan dat de malware cryptocurrency wallet-gegevens kan onderscheppen uit browserextensies zoals MetaMask, Phantom en Coinbase Wallet, inclusief herstelzinnen en private keys. Of deze component daadwerkelijk is ingezet en of er cryptovaluta zijn gestolen, is onbekend.
Volgens de onderzoeker verving Level Infinite op 3 november drie van de vier geïnfecteerde JavaScript-bestanden door schone versies, maar een gemanipuleerd script zou nog tot 22:26 GMT die dag aan gebruikers zijn geleverd. Dit suggereert dat ten minste één geïnfecteerd script na de update nog beschikbaar was. De onderzoeker deelde ook indicatoren van compromittering, zoals de string k2f_chan in het debug.log bestand van de launcher, die gebruikers kunnen controleren om te zien of de kwaadaardige Lua-agent is uitgevoerd.
