NIKKE-pelin virallinen PC-käynnistin levitti etähallintaohjelmaa viikkojen ajan
Julkaisijan omalta palvelimelta ladatut muokatut skriptit asensivat pelaajien koneille ohjelman, joka varastaa salasanoja ja istuntoevästeitä.
Tiivistelmä
Goddess of Victory: NIKKE -pelin Windows-käynnistin latasi julkaisija Level Infiniten omalta palvelimelta muokattuja skriptejä, jotka asensivat koneille K2F-etähallintaohjelman. Ohjelma pystyy varastamaan salasanoja, evästeitä, avaimia ja kryptolompakoiden tietoja. Syyskuun lopun jälkeen käynnistintä käyttäneiden kannattaa tarkistaa koneensa, eikä virustorjunnan puhdas tulos riitä todisteeksi.
Jos käynnistit Goddess of Victory: NIKKE -pelin Windows-käynnistimen 27. syyskuuta jälkeen, koneellesi on voinut asentua etähallintaohjelma, joka lukee tiedostoja ja varastaa selaimeen tallennetut salasanat.
Kyse ei ollut väärennetystä latauksesta. Haittakoodi tuli pelin omasta, virallisesta käynnistimestä, eikä pelaaja ole voinut tehdä mitään toisin.
Pelin julkaisija Level Infinite, joka kuuluu Tencentiin, myönsi ongelman X-palvelussa keskiviikkona 4. marraskuuta.
– Olemme havainneet merkkejä siitä, että ulkopuolinen taho on saattanut muokata PC-käynnistimen skriptitiedostoja, yhtiö kirjoitti.
NIKKEllä on yksi maailmanlaajuinen palvelin, joten suomalaiset pelaajat ovat käyttäneet samaa käynnistintä kuin muutkin.
Muokatut tiedostot tulivat julkaisijan omalta palvelimelta
BleepingComputer ja tapausta selvittänyt tietoturvatutkija kertovat, että Level Infiniten sisällönjakeluverkossa playerinfinite.com-osoitteessa muutettiin neljää JavaScript-tiedostoa, jotka Windows-käynnistin lataa aina käynnistyessään.
Muokattu koodi haki lisää koodia insightjs.com-osoitteesta ja tarvittaessa varaosoitteesta insightjs.org. Sen kautta koneelle päätyi etähallintaohjelma, joka kutsuu itseään nimellä K2F. Tutkija kertoo, ettei kyse ole aiemmin tunnetusta haittaohjelmaperheestä.
Windowsissa ohjelma voi lisäksi asentaa pysyvän DLL-tiedoston nimeltä platform_experience_helper.dll. Tutkijan analyysin ja BleepingComputerin perusteella ohjelma pystyy ajamaan mitä tahansa ohjelmia, ottamaan kuvakaappauksia, varastamaan Chromium-pohjaisiin selaimiin ja Firefoxiin tallennetut salasanat ja evästeet sekä viemään NIKKE-tunnukset, SSH-, GPG- ja API-avaimet, pilvipalveluiden tunnukset ja .env-tiedostot.
Se lukee myös 28 kryptolompakon selainlaajennuksen tietoja. BleepingComputer havaitsi koodia, joka kohdistui MetaMaskiin, Phantomiin ja Coinbase Walletiin.
Sitä ei tiedetä, onko pelaajilta viety kryptovaluuttaa. Uhrimäärää ei ole julkaistu.
Haittakoodi toimi ennen virallista päivämäärää
Level Infinite kertoo jakelun alkaneen 30. lokakuuta, mutta tutkija havaitsi haittakoodin toimineen jo 23. lokakuuta. Tutkijan analyysissa tiedostojen muokkaus ja haittakoodin hakuosoitteen käyttöönotto ajoittuvat 27. syyskuuta, joten tarkistus koskee kaikkia, jotka ovat käynnistäneet käynnistimen sen jälkeen.
Haitalliset tiedostot poistettiin 3.–4. marraskuuta. Torstaina yhtiö julkaisi virallisen anteeksipyynnön ja tarkistusohjeen, ja käynnistin sai samalla automaattisen tunnistuksen ja poiston.
– Ei saisi koskaan tapahtua, että pelaamista varten julkaistu virallinen ohjelma uhkaa käyttäjien turvallisuutta, Level Infinite kirjoittaa anteeksipyynnössään.
Mobiiliversiot eivät ole saastuneet. Sen sijaan Steam Deckin ja Linuxin pelaajat, jotka ajoivat Windows-käynnistintä Protonin kautta, ovat altistuneet.
Yhtiö valmistelee pelinsisäistä hyvitystä ja ottaa asiakastuen kautta vastaan ilmoituksia rahallisista menetyksistä.
Näin tarkistat koneen
Etsi pelin käynnistinkansiosta tiedosto Launcher/intl_service/debug.log ja hae siitä merkkijonoa k2f_chan. Tutkijan mukaan merkkijonon löytyminen on merkki siitä, että haittakoodi on ajettu koneella.
Level Infinite julkaisi tarkistusohjeen torstaina anteeksipyyntönsä yhteydessä, ja tutkijan oma tarkistustyökalu löytyy linkkinä hänen GitHubissa julkaisemastaan analyysista. Älä poista kansiota %APPDATA%\nikke_launcher\tbs_cache ennen tarkistusta, sillä todisteet ovat siellä.
Virustorjunnan puhdas tulos ei todista, että kone on puhdas.
Istuntoevästeen varastaminen (session hijacking)
Kun palvelu on kirjannut sinut sisään, selain tallentaa istuntoevästeen. Sen varastanut pääsee tilille ilman salasanaa tai kaksivaiheista tunnistautumista niin kauan kuin istunto on voimassa. Tartunnan jälkeen salasanan vaihto ei siksi riitä, vaan kaikki istunnot on myös kirjattava ulos.
Mitä tehdä
- Jos kone on saastunut, irrota se heti verkosta.
- Asenna Windows uudelleen. Pysyvä DLL-tiedosto voi jäädä koneelle, vaikka virustorjunta ei löytäisi mitään.
- Vaihda salasanat toisella, puhtaalla laitteella ja aloita sähköpostista.
- Kirjaudu ulos kaikista istunnoista tärkeimmissä palveluissa, kuten Googlessa, Microsoftissa, Discordissa, Steamissa ja verkkopankeissa. Varastetuilla evästeillä pääsee tileille ilman salasanaa.
- Jos sinulla oli kryptovaluuttaa selaimen lompakkolaajennuksissa, siirrä varat uuteen lompakkoon, jolla on uusi siemenlause.
- Ilmoita tapauksesta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi. Jos menetit rahaa, tee rikosilmoitus poliisi.fi-palvelussa ja ilmoita menetyksistä myös Level Infiniten asiakastukeen.
Lähteet
- BleepingComputer (04.11.2026)
- Tutkijan analyysi (GitHub, MotherSphere)
- NIKKE / Level Infinite (X) (04.11.2026)
- Inven Global (05.11.2026)
- Automaton