PC launcher igre Goddess of Victory: NIKKE bio je kompromitiran u ozbiljnom sigurnosnom incidentu tijekom kojeg su napadači izmijenili datoteke koje je učitavao službeni program igre. Level Infinite potvrdio je da takva izmjena mogla omogućiti pokretanje zlonamjernog programa na računalima igrača te preporučio svim korisnicima koji su do kraja rujna pokretali Windows launcher da provjere svoja računala i promijene lozinke.
Prema službenoj vremenskoj crti Level Infinitea, domena insightjs.com, koju su koristile određene usluge povezane s igrom, preuzeta je od strane treće osobe 27. rujna u 10:59 prema korejskom vremenu. Nekoliko sati kasnije djelomično su izmijenjene skripte koje koristi NIKKE launcher. Level Infinite navodi da je stvarna distribucija zlonamjernog programa prema korisničkim računalima počela 30. listopada u 03:52.
BleepingComputer je zasebno analizirao dvije kompromitirane datoteke i potvrdio da su sadržavale prikriveni kod koji je pokušavao dohvatiti dodatne podatke s domena pod kontrolom napadača. Zlonamjerni kod potom je koristio mogućnosti samog launchera za preuzimanje i izvršavanje dodatnog LuaJIT paketa, nazvanog insight.bundle, koji je instalirao udaljeni agent označen kao K2F.
Prema analizi MotherSpherea, mogućnosti tog programa bile su znatno ozbiljnije od pristupa samom NIKKE računu. Napadač je potencijalno mogao pokretati programe i sistemske naredbe, pregledavati direktorije i preuzimati datoteke, snimiti zaslon te prikupljati spremljene podatke iz internetskih preglednika, uključujući lozinke, kolačiće i autentifikacijske tokene. Program je također tražio razvojne pristupne podatke poput SSH ključeva, API ključeva i drugih tajni.
Istraživanje je naknadno otkrilo i Windows DLL datoteku platform_experience_helper.dll koja je bila usmjerena na Google Chrome. Analiza njezina koda pokazala je funkcije za pristup podacima 28 različitih proširenja za kriptovalute, među kojima su MetaMask, Phantom, Binance Wallet, Coinbase Wallet i drugi. Program je mogao pokušati dohvatiti lozinku ili privatni ključ u trenutku kada je korisnik otključao novčanik.
Level Infinite je problem otkrio 4. studenoga oko ponoći prema korejskom vremenu. Zamijenjene su tri kompromitirane skripte, dok je za četvrtu kasnije tijekom dana osvježena CDN predmemorija kako bi se ispravljena verzija proširila na sve poslužitelje.
NIKKE je zatim 5. studenoga u službeni PC klijent dodao funkciju koja provjerava računalo i pokušava pronaći i ukloniti zlonamjerne datoteke, DLL-ove i povezane zapise u Windows registru. Level Infinite trenutno navodi da je verzija launchera koja se sada distribuira pregledava i sigurna za korištenje.
Tvrtka je iz predostrožnosti preporučila sigurnosnu provjeru svima koji su pokrenuli launcher barem jednom nakon 27. rujna. Pogođenim korisnicima preporučuje se i promjena lozinki za račune koje su koristili na potencijalno kompromitiranom računalu. Ako su na njemu bili spremljeni API ključevi ili prisutni tokeni, Level Infinite preporučuje njihovo opozivanje i generiranje novih. Promjene bi se trebale obaviti s drugog sigurnog uređaja ili tek nakon što je pogođeno računalo provjereno i očišćeno.
Level Infinite zasad nije objavio koliko je igrača bilo izloženo niti koliko je računala stvarno zaraženo, kao ni jesu li potvrđene krađe lozinki ili financijskih sredstava.
