لانچر بازی NIKKE PC برای گسترش دسترسی از راه دور و بدافزار سرقت اطلاعات هک شد

توسعه‌دهندگان Goddess of Victory: NIKKE تأیید کرده‌اند که هکرها در یک حمله زنجیره تامین، اسکریپت‌های راه‌انداز رایانه‌های شخصی بازی را دستکاری کرده‌اند و بدافزاری را توزیع می‌کنند که قادر به سرقت اطلاعات اعتباری و کیف پول ارزهای دیجیتال است.

طبق اطلاعیه ای که در X منتشر شد، به روز رسانی مشتری در 4 نوامبر در ساعت 02:30 (UTC +9) برای رسیدگی به این مشکل صادر شد.

در بیانیه X آمده است: «ما مشکلی را شناسایی کرده‌ایم که نشان می‌دهد فایل‌های اسکریپت PC Launcher ممکن است توسط شخص ثالث دستکاری شده باشد.

"بر این اساس، اصلاحات مشتری و یک به روز رسانی در 4 نوامبر تقریبا در ساعت 02:30 (UTC+9) اجرا شد. ما در حال حاضر در حال بررسی دامنه تأثیر ناشی از این مشکل هستیم و جزئیات بیشتر در مورد اقدامات بعدی را در اطلاعیه ای جداگانه ارائه خواهیم کرد."

Goddess of Victory: NIKKE یک بازی RPG تیراندازی علمی تخیلی محبوب است که توسط شرکت کره جنوبی Shift Up برای ویندوز، iOS و اندروید توسعه یافته است.

ناشر آن، Level Infinite، بیش از 45 میلیون دانلود از زمان راه اندازی آن در سال 2022 گزارش کرده است، در حالی که گوگل پلی به تنهایی 10 میلیون دانلود را گزارش می دهد.

اگرچه Level Infinite جزئیات زیادی را فاش نکرده است، گزارشی درباره GitHub توسط محقق امنیتی مستقل MotherSphere ادعا می‌کند که این حادثه شامل چهار فایل جاوا اسکریپت است که در شبکه رسمی تحویل محتوای Level Infinite (CDN) میزبانی شده‌اند.

به گفته این محقق، فایل‌ها در 27 سپتامبر 2026 اصلاح شدند تا جاوا اسکریپت مخرب تزریق شود که هر زمان که بازیکنان لانچر بازی را باز می‌کردند، کدهای اضافی را از سرورهای تحت کنترل مهاجم دانلود می‌کرد.

کد تزریق شده در فایل‌های جاوا اسکریپت قانونی پنهان شده بود و از مبهم سازی برای پنهان کردن دامنه‌های insightjs[.]com و insightjs[.]org استفاده می‌کرد، که کد مخرب از آنجا دانلود می‌شد.

BleepingComputer دو مورد از فایل های جاوا اسکریپت اصلاح شده را بررسی کرد و تأیید کرد که آنها حاوی یک لودر مبهم هستند که برای بازیابی و اجرای کد اضافی از این دامنه ها طراحی شده است و در صورت در دسترس نبودن دامنه اول، به دومین دامنه باز می گردد.

بر اساس تجزیه و تحلیل MotherSphere، کد دانلود شده از عملکرد بومی پرتاب کننده برای بازیابی و اجرای یک بار مخرب LuaJIT به نام insight.bundle سوء استفاده کرده است که یک عامل دسترسی از راه دور به نام K2F را نصب کرده است.

درپشتی به مهاجمان این امکان را می‌داد تا دستورات را از راه دور اجرا کنند، فایل‌های محلی را مرور و دانلود کنند، از صفحه‌نمایش عکس بگیرند، اطلاعات حساب NIKKE را جمع‌آوری کنند و اطلاعات ذخیره‌شده در مرورگرهای وب را سرقت کنند.

این بدافزار همچنین از یک فرمان اضافی برای نصب یک DLL ویندوز مخرب به نام platform_experience_helper.dll پشتیبانی می‌کند که می‌تواند پس از بسته شدن راه‌انداز بازی فعال بماند.

BleepingComputer رشته های استخراج شده از نمونه DLL آپلود شده در VirusTotal را تجزیه و تحلیل کرد و کدی را یافت که نشان می دهد این بدافزار می تواند داده های کیف پول رمزنگاری شده را از برنامه های افزودنی مرورگر، از جمله MetaMask، Phantom، Coinbase Wallet و موارد دیگر سرقت کند.

DLL دارای عملکردی برای رهگیری اطلاعات حساس کیف پول، از جمله عبارات بازیابی و کلیدهای خصوصی بود که به طور بالقوه به مهاجمان اجازه می داد ارزهای دیجیتال را سرقت کنند.

با این حال، مشخص نیست که آیا مهاجمان این مؤلفه اضافی را در سیستم‌های آلوده مستقر کرده‌اند یا با موفقیت ارزهای دیجیتال را از بازیکنان سرقت کرده‌اند.

محقق ادعا می‌کند که Level Infinite سه مورد از فایل‌های جاوا اسکریپت تحت تأثیر را در تاریخ 3 نوامبر با نسخه‌های تمیز جایگزین کرد. با این حال، آنها ادعا می کنند که یک نسخه دستکاری شده از چهارمین گزارش هنوز تا ساعت 22:26 به وقت گرینویچ به کاربران ارائه می شود.

این نشان می‌دهد که حداقل یک اسکریپت در معرض خطر ممکن است پس از اینکه شرکت به‌روزرسانی مشتری خود را اجرا کرد، در دسترس باقی مانده باشد.

این محقق همچنین شاخص‌هایی از سازش (IOC) را به اشتراک گذاشت که کاربران می‌توانند بررسی کنند تا مشخص کنند آیا عامل مخرب Lua روی رایانه‌هایشان اجرا کرده است یا خیر.

یک نشانگر رشته k2f_chan است که در فایل Launcher/intl_service/debug.log در دایرکتوری نصب NIKKE ثبت شده است.

این ورودی نشان می دهد که عامل مخرب Lua اجرا شده است، اما تأیید نمی کند که آیا DLL نیز بارگذاری شده است.

BleepingComputer همچنین دریافت که دامنه پشتیبان insightjs[.]org اکنون کدی را ارائه می‌کند که یک هشدار امنیتی را در لانچر بازی نمایش می‌دهد.

این اخطار که به زبان‌های انگلیسی، چینی، ژاپنی و کره‌ای نمایش داده می‌شود، به بازیکنان می‌گوید که فورا لانچر را ببندند و از باز کردن کلاینت رایانه شخصی خودداری کنند تا زمانی که ناشر تأیید کند که مشکل حل شده است.

این پیام تأیید می‌کند که این یک اعلامیه رسمی از سوی ناشر بازی نیست، بنابراین مشخص نیست چه کسی در حال حاضر دامنه را کنترل می‌کند یا زمانی که بار مخرب با این هشدار جایگزین شده است.

BleepingComputer برای اظهار نظر در مورد یافته های MotherSphere با Level Infinite تماس گرفته است، اما پاسخی از طریق انتشار دریافت نکرده است.

بازیکنانی که بالقوه آسیب دیده اند باید با استفاده از نرم افزار آنتی ویروس به روز شده، یک اسکن کامل سیستم را اجرا کنند.

کسانی که متوجه می‌شوند به خطر افتاده‌اند باید ویندوز را مجددا نصب کنند و رمزهای عبور و سایر اطلاعات کاربری حساس را از یک دستگاه تمیز تغییر دهند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

خط لوله انتشار LiteLLM برای توزیع بدافزار دزد اطلاعات هک شد

هکرها به روز رسانی خودکار cPGuard را برای استقرار درب پشتی، سرقت داده ها ربوده اند

هکرها اسکریپت تحلیلی Convertr را ربودند تا اطلاعات کارت پرداخت را به سرقت ببرند

OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

پلاگین سئو وردپرس Rank Math به وب‌سایت‌های درپشتی آسیب می‌زند