O launcher de PC de Goddess of Victory: NIKKE, jogo desenvolvido pela Shift Up e publicado pela Level Infinite, da Tencent, foi alvo de um ataque à cadeia de fornecimento, segundo o relatório de um investigador de segurança independente conhecido como MotherSphere.

Quatro ficheiros JavaScript alojados na rede de distribuição de conteúdos (CDN) da Level Infinite terão sido alterados a 27 de setembro com código malicioso, que o launcher carrega sempre que é aberto. O investigador analisou o código sem o executar.

Segundo o relatório, a partir de 23 de outubro, abrir o launcher podia instalar um agente de controlo remoto, que permitia ao atacante executar comandos no computador, aceder a ficheiros e captar ecrãs enquanto o launcher estivesse aberto.

O agente visava também palavras-passe guardadas no browser, cookies, tokens, chaves SSH e carteiras de criptomoedas. No Windows, pode registar-se de forma a continuar ativo depois de o launcher ser fechado, e quem joga em Linux ou no Steam Deck, através do Proton, está em risco semelhante. A infeção não acontecia em todas as aberturas do launcher.

A Level Infinite confirmou no X, a 4 de novembro, que os ficheiros de script do launcher podem ter sido adulterados por terceiros, e que as correções e uma atualização foram lançadas por volta das 17h30 de 3 de novembro. A empresa diz estar a investigar o impacto e promete uma nova comunicação, mas não indica que ficheiros foram afetados nem dá instruções aos jogadores.

Segundo o investigador, os quatro ficheiros já estavam limpos nos servidores verificados às 11h20 de 4 de novembro.

Corrigir os ficheiros não remove o malware de computadores já infetados.

  1. O investigador aconselha a procurar a palavra “k2f_chan” no ficheiro Launcher/intl_service/debug.log, na pasta de instalação do jogo: se aparecer, o agente foi executado. A ausência não garante que o PC esteja seguro.

  2. Antes de voltar a abrir o launcher, recomenda apagar a pasta de cache %APPDATA%\nikke_launcher\tbs_cache, que ainda pode conter os ficheiros alterados. Quem tenha sido infetado deve mudar as palavras-passe a partir de outro dispositivo, terminar as sessões ativas e mover as criptomoedas para uma carteira nova.

Ainda não se sabe como o atacante obteve acesso à CDN, quantos utilizadores foram afetados, nem se foram roubados dados. A análise só documentou o ataque no launcher de PC de NIKKE, e não há provas de que outros jogos da Level Infinite ou as versões móveis estejam afetados.