מי שפתח את NIKKE במחשב בשבועות האחרונים לא ראה שום דבר חריג. המשגר עלה, המשחק נטען, הכול כרגיל. בזמן הזה, לפי חוקר עצמאי שמפרסם בשם MotherSphere, ארבעה קבצי JavaScript שיושבים על ה-CDN הרשמי של המפיצה הורידו קוד נוסף משרת חיצוני בכל פעם שהמשגר נפתח. אתמול אישרה המפיצה Level Infinite שהקבצים האלה שונו על ידי גורם שלישי.

מה קרה

NIKKE הוא משחק ירי ותפקידים שפיתחה החברה הקוריאנית Shift Up, והמפיצה מדווחת על יותר מ-45 מיליון הורדות מאז 2022. ההודעה שפרסמה Level Infinite ברשת X מנוסחת בזהירות: זוהה סימן לכך שקבצי הסקריפט של המשגר למחשב ייתכן ששונו על ידי גורם שלישי. תיקון לקוח יצא ב-4 בנובמבר בסביבות 02:30 שעון קוריאה, והיקף הפגיעה, לפי אותה הודעה, עוד נבדק.

לפי הדוח שפרסם MotherSphere ב-GitHub, הקבצים שונו ב-27 בספטמבר. הקוד שהוחדר הוסתר בתוך קבצי JavaScript תקינים, ושתי הכתובות שמהן הורדו הרכיבים הבאים, insightjs[.]com ו-insightjs[.]org, עורפלו כדי שלא יבלטו. BleepingComputer בדק שניים מהקבצים בעצמו ואישר שמדובר במוריד מעורפל שמביא קוד נוסף מאותן כתובות, ועובר לשנייה כשהראשונה לא עונה.

מה שהגיע בסוף השרשרת הוא כלי גישה מרחוק שהחוקר מכנה K2F. הוא מאפשר לתוקף להריץ פקודות על המחשב, לעבור על קבצים מקומיים ולהוריד אותם, לצלם את המסך, לאסוף את פרטי האימות לחשבון המשחק ולשלוף מידע ששמור בדפדפן. פקודה נוספת מתקינה קובץ DLL בשם platform_experience_helper.dll שנשאר פעיל גם אחרי שסוגרים את המשגר. BleepingComputer חילץ מחרוזות מדגימה של אותו DLL שהועלתה ל-VirusTotal, ומצא בה קוד שמכוון לתוספי ארנקי קריפטו בדפדפן, בהם MetaMask, Phantom ו-Coinbase Wallet, כולל משפטי השחזור והמפתחות הפרטיים. אם הרכיב הזה הופעל בפועל על מחשבים של שחקנים, ואם נגנב דרכו כסף, לא ידוע.

למה זה חשוב לכם

המשחק משוחק גם בישראל, אבל העניין פה גדול ממנו. ההורדה הגיעה מהמקום הנכון, מהשרת של המפיצה, בתוך תוכנה שהשחקן מפעיל מרצונו ושאין שום סיבה לחשוד בה. אנטי-וירוס ששואל מאיפה הקובץ בא לא רואה כאן בעיה, כי הוא בא מהבית. לטכניקה הזאת קוראים מתקפת שרשרת אספקה, וזה מה שהופך אותה ליעילה.

הזווית השנייה היא הארנקים. תוסף ארנק בדפדפן מחזיק את המפתח לכסף אמיתי, והוא יושב באותו פרופיל דפדפן שהנוזקה ניגשת אליו. מי שמחזיק קריפטו בתוסף על אותו מחשב שעליו הוא משחק נמצא בדיוק בצומת הזאת.

מה עושים?

התקינו את עדכון הלקוח שיצא ב-4 בנובמבר לפני שאתם פותחים את המשחק שוב. החוקר מדווח ששלושה מארבעת הקבצים הוחלפו בגרסה נקייה ב-3 בנובמבר, אבל שעותק נגוע של הרביעי עוד הוגש לשחקנים ב-22:26 GMT, כך שעדכון הוא לא עניין שאפשר לדחות.

רוצים לדעת אם הקוד רץ אצלכם? פתחו את תיקיית ההתקנה של NIKKE וחפשו את המחרוזת k2f_chan בקובץ Launcher/intl_service/debug.log. אם היא שם, הסוכן הזדוני הורץ על המחשב. זה עדיין לא אומר בוודאות שה-DLL נטען גם.

בכל מקרה הריצו סריקה מלאה עם אנטי-וירוס מעודכן. למי שנמצא נגוע ההמלצה היא להתקין את Windows מחדש ולהחליף סיסמאות ממחשב אחר ונקי, לא מאותו מכשיר.

מחזיקים ארנק קריפטו בתוסף דפדפן על מחשב שמריץ משחקים? העבירו את היתרה לארנק חומרה או לארנק חדש על מכשיר אחר, והתייחסו למשפט השחזור הקיים כאילו הוא דלף.

בכתובת הגיבוי insightjs[.]org יושבת כרגע הודעת אזהרה בארבע שפות שמורה לשחקנים לסגור את המשגר, והיא לא מגיעה מהמפיצה. מי שולט שם עכשיו לא ברור.