Level Infinite hat bestätigt, dass Skriptdateien des PC-Launchers von Goddess of Victory: NIKKE von Dritten manipuliert wurden und begannen, Malware zu verbreiten. Der Vorfall, der am 4. November 2026 bekannt wurde, verwandelte den offiziellen Update-Weg des Spiels in einen Angriffskanal: Wer den Launcher im betroffenen Zeitraum öffnete, hat möglicherweise Schadcode ausgeführt, ohne etwas Verdächtiges herunterzuladen.
Das Spiel, entwickelt vom südkoreanischen Studio Shift Up und veröffentlicht von Level Infinite, hat seit seinem Start 2022 mehr als 45 Millionen Downloads erreicht. Die mobile Version war laut Publisher nicht betroffen.
Was ist passiert?
In einer auf X veröffentlichten Mitteilung erklärte Level Infinite, es gebe Hinweise darauf, dass die Skriptdateien des PC-Launchers „möglicherweise von Dritten manipuliert wurden", und dass Korrekturen am 4. November gegen 02:30 Uhr (UTC+9) umgesetzt wurden. Das Unternehmen erklärte, das Ausmaß der Auswirkungen werde weiterhin untersucht.
Laut einer Analyse des unabhängigen Sicherheitsforschers MotherSphere, veröffentlicht auf GitHub und von Fachmedien aufgegriffen, wurden vier JavaScript-Dateien, die auf dem offiziellen Content-Delivery-Network (CDN) von Level Infinite gehostet werden, am 27. September 2026 verändert. Der eingeschleuste Code lud jedes Mal, wenn ein Spieler den Launcher öffnete, zusätzliche Programme von Servern herunter, die von den Angreifern kontrolliert wurden.
Was die Malware tat
Der Analyse von MotherSphere zufolge nutzte der heruntergeladene Code Funktionen des Launchers selbst, um eine Payload namens insight.bundle auszuführen, die einen Fernzugriffs-Agenten namens K2F installierte. Der Agent konnte Befehle aus der Ferne ausführen, Dateien auf dem Computer durchsuchen und herunterladen, Bildschirmaufnahmen machen, Anmeldedaten des NIKKE-Kontos sammeln und im Browser gespeicherte Informationen stehlen.
Eine optionale Komponente, eine Windows-DLL namens platform_experience_helper.dll, konnte auch nach dem Schließen des Launchers aktiv bleiben. BleepingComputer analysierte Zeichenketten aus einer Probe dieser DLL, die auf VirusTotal hochgeladen wurde, und fand Hinweise auf den Diebstahl von Kryptowährungs-Wallet-Daten aus Browser-Erweiterungen wie MetaMask, Phantom und Coinbase Wallet, mit der Möglichkeit, Wiederherstellungsphrasen und private Schlüssel abzufangen.
Eine wichtige Unterscheidung: Die Diebstahlfunktion wurde im analysierten Code festgestellt, aber es ist nicht bekannt, ob die Angreifer diese Komponente tatsächlich auf betroffenen Computern installiert haben oder ob Kryptowährung gestohlen wurde.
Wann begann es? Die Angaben weichen voneinander ab
Es gibt eine relevante Abweichung in der Zeitachse. Level Infinite verortet den Beginn der Malware-Verbreitung am 30. Oktober. Die Analyse von MotherSphere hingegen verweist auf Belege dafür, dass der Fern-Agent bereits am 23. Oktober lief. Die manipulierten Dateien blieben seit dem 27. September mehr als fünf Wochen im Umlauf.
Der Publisher ersetzte drei der kompromittierten Dateien in den frühen Morgenstunden des 4. November und leerte noch am selben Tag den CDN-Cache für die vierte Datei. Am 5. November fügte Level Infinite dem PC-Client eine Funktion zur Erkennung und Entfernung von Malware hinzu und veröffentlichte Anleitungen zur Prüfung, ob ein Computer kompromittiert wurde.
Was PC-Spieler tun sollten
- Sichern Sie vor dem erneuten Öffnen des Launchers Launcher\intl_service\debug.log und den Ordner tbs_cache, da der aktualisierte Launcher Beweise für die Infektion löschen kann. Diese Empfehlung stammt vom Forscher MotherSphere und wurde am 6. November von BleepingComputer aufgegriffen.
- Prüfen Sie, ob die Protokolldatei die Zeichenkette k2f_chan registered enthält — ein Hinweis darauf, dass der Schad-Agent ausgeführt wurde.
- Führen Sie einen vollständigen Systemscan mit aktueller Antivirensoftware durch.
- Bei bestätigter Kompromittierung installieren Sie Windows neu und ändern Sie Passwörter und andere sensible Zugangsdaten von einem sauberen Gerät aus.
- Spieler, die nur die mobile Version nutzen, müssen laut Level Infinite keine weiteren Maßnahmen ergreifen.
Was noch unbekannt ist
Die Zahl der kompromittierten Computer und das volle Ausmaß eines möglichen Datendiebstahls wurden nicht offengelegt. Level Infinite erklärte, die Untersuchung des Ausmaßes laufe weiter und weitere Details würden in einer späteren Mitteilung folgen.
Bildnachweis: offizielles Logo von Goddess of Victory: NIKKE, von Shift Up und Level Infinite, via Wikimedia Commons.
Fontes
- BleepingComputer — NIKKE PC game launcher hacked to spread remote access, data-stealing malware
- Malwarebytes — NIKKE PC launcher compromise put players' passwords and personal files at risk
- AJU Press — Nikke falls latest prey to cyberattacks on Korean entities
Transparenz: Dieser Artikel wurde mit Hilfe künstlicher Intelligenz erstellt, auf Grundlage von offiziellen Mitteilungen, öffentlichen Veröffentlichungen und journalistischen Quellen im Internet. Informationen, die unabhängigen Forschern zugeschrieben werden, sind als solche gekennzeichnet. Bitte prüfen Sie die Details in den Originalquellen.
Von Muse
