Os desenvolvedores de Goddess of Victory: NIKKE confirmaram que hackers adulteraram os arquivos de script do inicializador do jogo para PC em um ataque à supply chain. A ação distribuiu malware capaz de roubar credenciais e dados de carteiras de criptomoedas.
Em um comunicado publicado no X, a empresa informou que disponibilizou uma atualização do cliente em 4 de novembro, às 2h30 (UTC+9), para corrigir o problema.
“Identificamos um problema que indica que os arquivos de script do inicializador para PC podem ter sido adulterados por terceiros”, diz o comunicado.
“Por isso, implementamos correções e uma atualização do cliente em 4 de novembro, por volta das 2h30 (UTC+9). Estamos investigando a extensão do impacto causado pelo problema e divulgaremos mais informações sobre as medidas adotadas em um comunicado separado.”
Goddess of Victory: NIKKE é um popular jogo de tiro e RPG de ficção científica desenvolvido pela empresa sul-coreana Shift Up para Windows, iOS e Android.
A publicadora Level Infinite informou que o jogo ultrapassou 45 milhões de downloads desde seu lançamento, em 2022. Só a Google Play registra 10 milhões de downloads.
Embora a Level Infinite tenha divulgado poucos detalhes, um relatório publicado no GitHub pelo pesquisador independente de segurança MotherSphere afirma que o incidente envolveu quatro arquivos JavaScript hospedados na CDN oficial da empresa.
Segundo o pesquisador, os arquivos foram modificados em 27 de setembro de 2026 para incluir JavaScript malicioso. O código baixava componentes adicionais de servidores controlados pelos invasores sempre que os jogadores abriam o inicializador.
O código injetado foi escondido em arquivos JavaScript legítimos e ofuscado para ocultar os domínios insightjs[.]com e insightjs[.]org, de onde o malware era baixado.
Em análise publicada pelo BleepingComputer, dois dos arquivos JavaScript modificados foram examinados, e o veículo confirmou que continham um carregador ofuscado, projetado para obter e executar código adicional desses domínios. Caso o primeiro estivesse indisponível, o carregador recorria ao segundo.
De acordo com a análise de MotherSphere, o código baixado explorava funções nativas do inicializador para obter e executar um payload malicioso de LuaJIT chamado insight.bundle. O arquivo instalava um agente de acesso remoto identificado como K2F.
A backdoor permitia que os invasores executassem comandos à distância, navegassem por arquivos locais e os baixassem, capturassem telas, coletassem credenciais de contas de NIKKE e roubassem informações armazenadas em navegadores.
O malware também aceitava um comando adicional para instalar uma biblioteca DLL maliciosa do Windows, chamada platform_experience_helper.dll, que poderia continuar ativa mesmo após o fechamento do inicializador do jogo.
Segundo análise publicada pelo BleepingComputer, sequências de texto extraídas de uma amostra da biblioteca enviada ao VirusTotal indicam que o malware podia roubar dados de carteiras de criptomoedas armazenados em extensões de navegador, incluindo MetaMask, Phantom e Coinbase Wallet.
A biblioteca tinha recursos para interceptar informações confidenciais de carteiras, como frases de recuperação e chaves privadas, o que poderia permitir o roubo de criptomoedas.
Ainda não se sabe se os invasores instalaram esse componente adicional nos sistemas comprometidos ou se conseguiram roubar criptomoedas de jogadores.
O pesquisador afirma que a Level Infinite substituiu três dos arquivos JavaScript afetados por versões limpas em 3 de novembro. No entanto, segundo ele, uma cópia adulterada do quarto arquivo ainda estaria sendo distribuída aos usuários às 22h26 GMT.
Isso indica que pelo menos um script comprometido pode ter continuado acessível depois que a empresa disponibilizou a atualização do cliente.
MotherSphere também divulgou indicadores de comprometimento (IOCs) que os usuários podem verificar para saber se o agente malicioso em Lua foi executado em seus computadores.
Um dos indicadores é a sequência k2f_chan no arquivo Launcher/intl_service/debug.log, localizado no diretório de instalação de NIKKE.
A presença dessa sequência indica que o agente malicioso em Lua foi executado, mas não confirma se a biblioteca DLL também foi carregada.
Segundo o BleepingComputer, o domínio reserva insightjs[.]org agora exibe um aviso de segurança dentro do inicializador do jogo.
A mensagem, em inglês, chinês, japonês e coreano, orienta os jogadores a fechar o inicializador imediatamente e não abrir o cliente para PC até que a publicadora confirme a resolução do problema.
O aviso informa que não se trata de um comunicado oficial da publicadora do jogo. Por isso, não está claro quem controla o domínio atualmente nem quando o payload malicioso foi substituído pela mensagem.
Segundo o BleepingComputer, a Level Infinite foi procurada para comentar as descobertas de MotherSphere, mas não respondeu até a publicação da reportagem.
Jogadores potencialmente afetados devem realizar uma verificação completa do sistema com um antivírus atualizado.
Quem identificar sinais de comprometimento deve reinstalar o Windows e alterar senhas e outras credenciais confidenciais usando um dispositivo limpo.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...