Los desarrolladores de *Goddess of Victory: NIKKE* confirmaron que hackers manipularon los scripts del lanzador de PC para distribuir malware. Este ataque permitió el robo de credenciales, archivos locales y datos de billeteras de criptomonedas. Aunque se lanzó una actualización el 4 de noviembre para solucionar el problema, se recomienda a los usuarios afectados realizar un escaneo completo de antivirus y cambiar sus contraseñas.





Los desarrolladores de Goddess of Victory: NIKKE han confirmado que unos hackers manipularon los scripts del lanzador de PC del juego en un ataque a la cadena de suministro, distribuyendo malware capaz de robar credenciales y datos de monederos de criptomonedas.

Según un aviso publicado en X, el 4 de noviembre a las 02:30 (UTC +9) se emitió una actualización del cliente para solucionar el problema.

"Hemos identificado un problema que indica que los archivos de script del Lanzador de PC pueden haber sido manipulados por un tercero", dice el comunicado en X http://x.com/NIKKE_en/status/2117817602659770434.


"En consecuencia, el 4 de noviembre aproximadamente a las 02:30 (UTC+9) se implementaron correcciones del cliente y una actualización. Actualmente estamos investigando el alcance del impacto causado por este problema y proporcionaremos más detalles sobre las medidas de seguimiento en un aviso aparte".

Goddess of Victory: NIKKE es un popular RPG de disparos de ciencia ficción desarrollado por la firma surcoreana Shift Up para Windows, iOS https://apps.apple.com/us/app/goddess-of-victory-nikke/id1585915174, y Android https://play.google.com/store/apps/details?id=com.proximabeta.nikke.

Su editor, Level Infinite, informó de más de 45 millones de descargas https://press.levelinfinite.com/it-IT/THE-BATTLE-FOR-HUMANITYS-FUTURE-ESCALATES-AS-GODDESS-OF-VICTORY-NIKKE- desde su lanzamiento en 2022, mientras que solo Google Play reporta 10 millones de descargas.

Scripts maliciosos del lanzador entregaron un backdoor

Aunque Level Infinite no ha revelado muchos detalles, un informe en GitHub https://gist.github.com/MotherSphere/d6c049a09ba8ac3085c51ee9df24a4e5 del investigador de seguridad independiente MotherSphere alega que el incidente involucró cuatro archivos JavaScript alojados en la red de entrega de contenido (CDN) oficial de Level Infinite.

Según el investigador, los archivos fueron modificados el 27 de septiembre de 2026 para inyectar JavaScript malicioso que descargaba código adicional desde servidores controlados por el atacante cada vez que los jugadores abrían el lanzador del juego.

El código inyectado estaba oculto dentro de archivos JavaScript legítimos y utilizaba ofuscación para ocultar los dominios insightjs[.]com e insightjs[.]org, desde donde se descargaba el código malicioso.

Se examinaron dos de los archivos JavaScript modificados y se confirmó que contenían un cargador ofuscado diseñado para recuperar y ejecutar código adicional de estos dominios, recurriendo al segundo dominio si el primero no estaba disponible.

Según el análisis de MotherSphere, el código descargado abusaba de la funcionalidad nativa del lanzador para ejecutar una carga útil de LuaJIT maliciosa llamada insight.bundle, que instalaba un agente de acceso remoto denominado K2F.

El backdoor permitía a los atacantes ejecutar comandos remotamente, explorar y descargar archivos locales, capturar capturas de pantalla, recopilar credenciales de cuentas de NIKKE y robar información almacenada en navegadores web.

El malware también admitía un comando adicional para instalar una DLL de Windows maliciosa llamada platform_experience_helper.dll que podía permanecer activa después de cerrar el lanzador del juego.

Se analizaron cadenas extraídas de una muestra de DLL subida a VirusTotal https://www.virustotal.com/gui/file/4bfaf98a6b863fa79554d9eeeb18870c3f92d552d62f4bd35a72d19ea68526af/ y se encontró código que indica que el malware puede robar datos de monederos de criptomonedas de extensiones del navegador, incluyendo MetaMask, Phantom, Coinbase Wallet y otros.

La DLL contenía funcionalidad para interceptar información sensible de los monederos, incluyendo frases de recuperación y claves privadas, permitiendo potencialmente a los atacantes robar criptomonedas.

Sin embargo, se desconoce si los atacantes desplegaron este componente adicional en los sistemas infectados o si robaron con éxito criptomonedas de los jugadores.

El investigador afirma que Level Infinite reemplazó tres de los archivos JavaScript afectados el 3 de noviembre con versiones limpias. Sin embargo, sostiene que una copia manipulada del cuarto todavía se estaba sirviendo a los usuarios hasta las 22:26 GMT.

Esto sugiere que al menos un script comprometido podría haber permanecido accesible después de que la empresa desplegara su actualización del cliente.

El investigador también compartió indicadores de compromiso (IOC) que los usuarios pueden verificar para determinar si el agente Lua malicioso se ejecutó en sus computadoras.

Un indicador es la cadena k2f_chan registrada en el archivo Launcher/intl_service/debug.log dentro del directorio de instalación de NIKKE.

Esta entrada indica que el agente Lua malicioso se ejecutó, pero no confirma si la DLL también fue cargada.

También se encontró que el dominio de respaldo insightjs[.]org ahora sirve un código que muestra una advertencia de seguridad dentro del lanzador del juego.

La advertencia, mostrada en inglés, chino, japonés y coreano, indica a los jugadores que cierren inmediatamente el lanzador y se abstengan de abrir el cliente de PC hasta que el editor confirme que el problema ha sido resuelto.

Advertencia sobre el ataque a la cadena de suministro en el dominio de respaldo del atacante.

El mensaje confirma que este no es un anuncio oficial del editor del juego, por lo que no está claro quién controla actualmente el dominio o cuándo se reemplazó la carga útil maliciosa por la advertencia.

Se ha contactado a Level Infinite para obtener comentarios sobre los hallazgos de MotherSphere, pero no se ha recibido respuesta hasta la publicación.

Los jugadores potencialmente afectados deben realizar un análisis completo del sistema utilizando un software antivirus actualizado.

Aquellos que descubran que fueron comprometidos deben reinstalar Windows y cambiar contraseñas y otras credenciales sensibles desde un dispositivo limpio.


Fuente:
BleepingComputer