Внимание: игрокам популярной гачи Goddess of Victory: NIKKE на PC советуют не запускать лаунчер — через него распространялся вирус, крадущий пароли и криптокошельки

PC-лаунчер Goddess of Victory: NIKKE от Shift Up и Level Infinite оказался заражён вредоносным кодом. Злоумышленники изменили несколько официальных javascript-файлов на CDN Level Infinite — их лаунчер подгружает при каждом запуске. Через них на компьютеры игроков попадал агент удалённого управления. Как именно злоумышленники получили доступ к серверам, пока неизвестно.

Первыми тревогу подняли игроки китайского форума NGA, а 3 ноября подробный технический разбор опубликовали на GitHub. Судя по нему, файлы изменили ещё 27 сентября. Вредоносный агент запускался самое позднее с 1 ноября, а по отдельным сообщениям — уже с 24 октября, причём не при каждом открытии лаунчера. 3 ноября Level Infinite заменила изменённые файлы, но часть серверов CDN ещё какое-то время продолжала раздавать заражённые копии. Атака совпала с празднованием четырёхлетия игры.

Возможности у вируса широкие. Пока лаунчер открыт, злоумышленник может выполнять на компьютере любые команды, читать и скачивать файлы и делать скриншоты всех мониторов. Агент крадёт сохранённые в браузере пароли, данные из диспетчера учётных данных Windows, SSH-ключи, токены облачных и ИИ-сервисов, а также данные 28 браузерных криптокошельков. На Windows с Chrome он закрепляется в системе и продолжает работать даже после закрытия лаунчера. Под угрозой и владельцы Linux и Steam Deck, которые запускают игру через Proton.

Проверить, был ли заражён ваш компьютер, можно самостоятельно. В папке с игрой нужно найти файл Launcher/intl_service/debug.log и поискать в нём строку k2f_chan: она означает, что агент запускался. До официального подтверждения исправления автор разбора советует не открывать лаунчер и очистить его кэш. Если заражение подтвердилось, с другого, чистого устройства стоит сменить пароли, включить двухфакторную аутентификацию, завершить все активные сеансы, отозвать токены и ключи, а криптовалюту перевести в новый кошелёк.

Ни Shift Up, ни Level Infinite пока публично не прокомментировали случившееся. Сервер злоумышленников перестал отвечать вечером 3 ноября, а один из связанных с атакой доменов зарегистрировал сторонний пользователь и разместил на нём предупреждение. О проблемах с мобильными версиями игры не сообщалось, но и прямого подтверждения их безопасности пока нет.

Доверяете ли вы официальным лаунчерам — или стараетесь запускать игры только через Steam? Делитесь в комментариях.