Manipulan el lanzador de NIKKE para distribuir malware de acceso remoto y robo de datos

El 4 de noviembre de 2026, los desarrolladores de Goddess of Victory: NIKKE confirmaron que terceros habían manipulado los archivos de script del lanzador para PC. Level Infinite indicó que publicó una actualización del cliente aproximadamente a las 02:30 (UTC+9) para corregir el problema y que estaba investigando el alcance del impacto.

Según el investigador independiente MotherSphere, el ataque afectó a cuatro archivos JavaScript alojados en la CDN oficial de Level Infinite. Los archivos habrían sido modificados el 27 de septiembre para descargar código desde los dominios insightjs[.]com e insightjs[.]org cada vez que los jugadores abrían el lanzador. BleepingComputer confirmó que dos de los archivos contenían un cargador ofuscado diseñado para obtener y ejecutar código adicional.

El código descargado aprovechaba funciones nativas del lanzador para ejecutar una carga LuaJIT denominada insight.bundle, que instalaba un agente de acceso remoto identificado como K2F. Este componente permitía ejecutar comandos, explorar y descargar archivos locales, realizar capturas de pantalla, recopilar credenciales de cuentas de NIKKE y extraer información almacenada en navegadores.

El malware también podía instalar la DLL maliciosa platform_experience_helper.dll, capaz de permanecer activa después del cierre del lanzador. El análisis de una muestra subida a VirusTotal reveló funciones para obtener datos de monederos de criptomonedas en extensiones de navegador, incluidos MetaMask, Phantom y Coinbase Wallet, así como frases de recuperación y claves privadas. No se ha confirmado que este componente se desplegara en sistemas afectados ni que se sustrajera criptomoneda.

MotherSphere afirmó que Level Infinite sustituyó tres archivos comprometidos el 3 de noviembre, aunque una copia manipulada del cuarto seguiría sirviéndose a usuarios a las 22:26 GMT. Entre los indicadores de compromiso figura la cadena k2f_chan en el archivo Launcher/intl_service/debug.log del directorio de instalación de NIKKE, que indica la ejecución del agente Lua, pero no confirma la carga de la DLL.

BleepingComputer informó de que el dominio de respaldo insightjs[.]org empezó a mostrar una advertencia de seguridad dentro del lanzador, con instrucciones para cerrarlo y no abrir el cliente de PC hasta que el editor confirmara la resolución del incidente. La publicación también recomienda analizar los sistemas con antivirus actualizado y, en caso de compromiso, reinstalar Windows y cambiar las credenciales desde un dispositivo limpio.

Fuente: BleepingComputer.