Wer seit Ende September den Windows-Launcher von „Goddess of Victory: NIKKE“ geöffnet hat, sollte seinen Rechner prüfen. Über manipulierte Skriptdateien, die der offizielle PC-Launcher des Shooter-Rollenspiels beim Start nachlädt, gelangte ein Fernsteuerungswerkzeug auf Spieler-PCs, das Passwörter, Browserdaten und Krypto-Wallets abgreifen kann. Öffentlich bekannt ist der Vorfall seit dem 3. November, als ein unabhängiger Sicherheitsforscher seine Analyse auf GitHub veröffentlichte. Am 4. November bestätigte Publisher Level Infinite auf X, die Skriptdateien seien möglicherweise von Dritten manipuliert worden, und verteilte ein Client-Update. Wie viele Spieler betroffen sind, ist auch am 8. November unbekannt.

Entwickelt wird NIKKE vom südkoreanischen Studio Shift Up, betrieben von Level Infinite. Dessen Mitteilungen vom 5. November stammen vom „NIKKE Operations Team“. „Ein offizielles Programm, das Spielern Freude am Spiel ermöglichen soll, darf niemals zur Gefahr für ihre Sicherheit werden“, heißt es in der Entschuldigung (Übersetzung); alle Spieler sollen eine Entschädigung im Spiel erhalten. Shift-Up-Chef Kim Hyung-tae entschuldigte sich am 4. November ebenfalls auf X. Betroffen ist laut Level Infinite nur der Windows-Launcher, nicht die Mobilversion. Wer den Launcher per Proton unter Linux oder auf dem Steam Deck nutzt, ist laut dem Forscher genauso gefährdet; Betroffene berichten Infektionen auch bei der Google-Play-Games-Variante des Launchers.

Zeitraum: manipulierte Dateien seit dem 27. September

Laut der Chronologie von Level Infinite (Zeiten hier in deutscher Zeit) übernahmen Dritte am 27. September um 3:59 Uhr die Domain insightjs.com, die einige Spieldienste genutzt hätten. Um 8:41 Uhr seien darüber Skriptdateien des Launchers manipuliert worden, ab dem 29. Oktober, 19:52 Uhr, seien Schadprogramme verteilt worden. Am 3. November gegen 16 Uhr bemerkte der Betreiber Unregelmäßigkeiten, bis 18:23 Uhr tauschte er drei Dateien aus, gegen 18:30 Uhr folgte das Client-Update. Für die vierte Datei war die Erneuerung des CDN-Caches erst am 4. November um 4:09 Uhr abgeschlossen.

Die Analyse stammt von einem Forscher, der auf GitHub als MotherSphere auftritt, und weicht in Teilen ab. Demnach wurden vier JavaScript-Dateien direkt auf Level Infinites Content Delivery Network (CDN) verändert; ihre Zeitstempel stammen vom 27. September. Erste Starts des Schadprogramms meldeten Betroffene schon ab dem 23. Oktober, eine Woche vor dem offiziellen Verteilbeginn. BleepingComputer hat zwei der veränderten Dateien untersucht und den eingeschleusten Lader bestätigt.

Fernzugriff, Passwortdiebstahl und eine Chrome-DLL

Der verschleierte Zusatzcode lud bei jedem Launcher-Start ein Skript von insightjs.com, ersatzweise von insightjs.org. Dieses holte über die Downloadfunktion des Launchers eine LuaJIT-Datei namens insight.bundle und führte sie aus: einen Fernsteuerungs-Agenten, den MotherSphere nach Kennungen im Code „K2F“ nennt, ohne ihn einer bekannten Malware-Familie zuzuordnen. Solange der Launcher läuft, kann der Angreifer damit beliebige Befehle ausführen, Dateien herunterladen, Screenshots aufnehmen, gespeicherte NIKKE-Zugangsdaten entschlüsseln sowie Browser-Passwörter und -Cookies auslesen. Auf der Zielliste stehen zudem SSH-Schlüssel, Cloud- und API-Zugangsdaten und 28 Krypto-Wallet-Erweiterungen.

Per Fernbefehl ließ sich außerdem eine DLL namens platform_experience_helper.dll installieren, die per Registry-Eintrag in Chrome geladen werden soll und so nach dem Schließen des Launchers aktiv bleiben kann. Ob sie tatsächlich verteilt wurde, war am 4. November unklar. Am 6. November meldete MotherSphere gegenüber BleepingComputer, mehrere Spieler hätten diese DLL auf ihren PCs gefunden. Bis zum 8. November ergänzte der Forscher, dass sie auf einem PC auch in Steams Browser-Komponente und andere Programme geladen wurde. Ihre Zeichenketten deuten darauf hin, dass sie Passwortfelder auf Webseiten sowie Wiederherstellungsphrasen und private Schlüssel entsperrter Wallets abgreift.

Symbolbild: Gaming-PC mit Monitor, Tastatur, Maus und Gamepad auf einem Schreibtisch

Bild: Symbolbild Gaming-PC – Foto: Brian Wong / Wikimedia Commons, CC BY-SA 2.0

Wie die Angreifer an die Dateien kamen, ist offen

Laut Registry-Daten wurde insightjs.com genau am 27. September um 3:59 Uhr neu registriert; MotherSphere zufolge war die Domain früher schon in Gebrauch und zwischenzeitlich ausgelaufen. Wie eine Domainübernahme Dateien auf Level Infinites eigenem CDN verändern konnte, erklärt die Mitteilung nicht, worauf auch der Forscher hinweist. Der Publisher prüft eigenen Angaben zufolge seine Netzwerksicherheit einschließlich des CDN. Zu den Tätern gibt es keine belastbaren Angaben. Seit dem 5. November ist insightjs.com gesperrt. Wer die Ausweichdomain kontrolliert, die inzwischen eine Warnung anzeigt, ist laut BleepingComputer unklar.

Warum Launcher ein lohnendes Ziel sind

Ein Launcher ist ein idealer Verteilweg: Spieler starten ihn freiwillig, er aktualisiert sich selbst und läuft oft während des Spielens im Infobereich der Taskleiste weiter – und mit ihm der Agent. Einem im Bericht zitierten Community-Hinweis zufolge verlangt der NIKKE-Launcher zudem Administratorrechte; Level Infinite will die Rechte jeder Launcher-Funktion nun auf das Nötigste beschränken. Bemerkenswert ist der Angriffsweg: Nach bisherigem Stand wurde keine signierte Programmdatei verändert, sondern Webskripte, die der Launcher zur Laufzeit vom CDN nachlädt. Davor schützt keine Codesignatur. Folgerichtig will Level Infinite künftig die Integrität externer Ressourcen prüfen.

Neu ist das Muster nicht. 2021 beschrieb ESET, wie Angreifer die Update-Infrastruktur des Android-Emulators NoxPlayer kompromittierten und darüber gezielt Schadsoftware verteilten. 2024 wechselte die Domain des Polyfill-Dienstes den Besitzer, danach steckte laut Sansec Schadcode in einem Skript, das über 100.000 Websites einbanden. Anders als bei der Kampagne mit verseuchten Security-Tools auf GitHub, über die wir am 6. November berichteten und bei der Angreifer eigene Köderprojekte bauten, kam der Schadcode hier aus der offiziellen Quelle.

Was NIKKE-Spieler jetzt tun sollten

Prüfen sollte laut Level Infinite jeder, der den Windows-Launcher seit dem 27. September, 8:41 Uhr, mindestens einmal gestartet hat. Zuerst die Herstellerhinweise:

  1. Seit dem 5. November (0 Uhr) prüft der offizielle PC-Client beim Start auf die Schadsoftware und entfernt nach Rückfrage Logs, DLL und Registry-Einträge. Vorher alle Browser einschließlich Chrome schließen.
  2. Alternativ die manuelle Anleitung: Netzwerk trennen, Spiel, Launcher und Chrome beenden, in Launcher\intl_service\debug.log im Installationsordner nach k2f_chan registered suchen. Bei einem Treffer den Schlüssel HKEY_CURRENT_USER\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} löschen (nur an diesem Pfad), neu starten und unter %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper nur den Unterordner mit 64-stelligem Hex-Namen löschen, der die DLL enthält – den Ordner selbst legt Chrome an. Außerdem eine 205.135 Byte große tinyget.*.log in Launcher\log\tinyget sowie %APPDATA%\nikke_launcher\tbs_cache löschen.
  3. Passwörter aller auf dem PC genutzten Konten von einem anderen Gerät ändern, API-Schlüssel und Tokens widerrufen, Virenscan und Defender-Offline-Scan ausführen, Schäden dem Kundendienst melden.

Ein Haken: Laut MotherSphere kann der aktualisierte Launcher Spuren wie das debug.log löschen. Wer Schäden geltend machen will, sichert vorher debug.log, den Ordner Launcher\log und tbs_cache. Eine frühe Agent-Variante hieß laut Bericht k2f.lua und war kleiner, die Größenregel greift dort nicht. Diese Befehle prüfen nur und ändern nichts (Pfad ggf. anpassen):

Select-String -Path 'C:\NIKKE\Launcher\intl_service\debug.log' -Pattern 'k2f_chan registered'
Test-Path 'HKCU:\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}'
Get-ChildItem "$env:LOCALAPPDATA\Google\Chrome\User Data\PlatformExperienceHelper" -Recurse -Filter platform_experience_helper.dll -ErrorAction SilentlyContinue

Signaturen aktualisieren, vollständig scannen und den Offline-Scan anstoßen kannst du in einer Administrator-PowerShell oder in „Windows-Sicherheit“ unter „Viren- & Bedrohungsschutz“ und „Scanoptionen“. Der Offline-Scan startet den PC neu:

Update-MpSignature
Start-MpScan -ScanType FullScan
Start-MpWDOScan

Ein sauberes Ergebnis ist kein Beweis: Laut MotherSphere übersah Defender Offline die DLL auf einem Rechner. Ändere Passwörter deshalb von einem sauberen Gerät, zuerst die im Browser gespeicherten, dann E-Mail, NIKKE und Zahlungskonten. Melde alle Sitzungen ab, etwa bei Discord, Steam, Google und deinem Mail-Anbieter, denn gestohlene Cookies funktionieren ohne Passwort. Aktiviere Zwei-Faktor-Authentifizierung, tausche SSH-Schlüssel und Entwickler-Tokens aus und bring Krypto-Guthaben, ebenfalls vom sauberen Gerät aus, in ein neues Wallet mit neuer Wiederherstellungsphrase. Ist der Agent nachweislich gelaufen, ist eine Neuinstallation von Windows der sicherste Weg. Führe keine „Reparaturbefehle“ aus Kommentaren aus: Unter MotherSpheres Bericht tauchte am 5. November ein angeblicher Fix auf, der ein fremdes Skript mit Administratorrechten ausführen sollte. Das quelloffene Prüfprogramm NIKKE Launcher Check des Forschers arbeitet nach dessen Angaben nur lesend; BleepingComputer hat es nicht getestet, wir auch nicht.

Quellen

Bildnachweis