Spieler und unabhängige Forscher haben entdeckt, dass offizielle CDN-Dateien, die der PC-Launcher von Goddess of Victory: NIKKE lädt, manipuliert wurden. Ein am 3. November auf GitHub veröffentlichter Analysebericht besagt, der eingeschleuste Loader lade einen Fernzugriffstrojaner herunter und führe ihn aus; betroffene Rechner seien als vollständig kompromittiert zu behandeln.
Bis zum Redaktionsschluss von InvenGlobal haben sich weder der Entwickler SHIFT UP noch der Publisher Level Infinite öffentlich geäußert. Alle folgenden Zeitangaben stammen aus externen Analysen; eine offizielle Mitteilung zum Abgleich gibt es nicht.
Zeitleiste und zwei Widersprüche
Die von InvenGlobal zusammengestellte Zeitleiste lautet: Am 27. September gelangte Angreifercode in drei offizielle JavaScript-Dateien auf dem CDN, die der Launcher beim Start lädt. Am 28. Oktober wurde die dritte Datei an der Quelle bereinigt. Spätestens ab dem 1. November konnte das Öffnen des Launchers dazu führen, dass ein Fernsteuerungsprogramm heruntergeladen und ausgeführt wurde, allerdings nicht bei jedem Start. Am 3. November wurden um 17:04 und 17:21 Uhr (GMT) zwei Dateien ausgetauscht, um 18:31 Uhr reagierte der Server der Angreifer nicht mehr, und um 18:59 Uhr lieferten noch zwei CDN-Knoten die veränderten Kopien aus.
Der GitHub-Bericht weicht leicht ab. Er nennt vier offizielle Assets, bestätigt sind FeedList und vue-bucket, und er gibt an, bei einer erneuten Prüfung am 4. November seien alle vier wieder sauber gewesen. Das dort genannte Datum 27. September ist der Tag, an dem die Kontrolldomain insightjs.com nach rund fünf Jahren Ruhe neu registriert wurde. Außerdem führt der Bericht an, dass der Loader erst etwa 37 Tage nach seiner Platzierung die Nutzlast ausführte; in dieser Zeit fiel Spielern beim Öffnen des Launchers womöglich nichts auf.
Warum ein Spiele-Trojaner Claude-Code-Konfigurationen stiehlt
Laut Bericht besitzt der Trojaner 19 Befehle, darunter beliebige Befehlsausführung, interaktive Shell, Dateiübertragung, Screenshots und das Sammeln von Zugangsdaten. Er durchsucht rund 1.790 Pfade; ausdrücklich genannt werden unter den KI- und Entwicklerwerkzeugen Claude Code, Gemini CLI, Cursor, Windsurf und MCP-Konfigurationen. Gesucht wird außerdem nach API-Schlüsseln und OAuth-Tokens von KI-Anbietern, Cloud-Schlüsseln, Tokens für Paket-Registries, CI- und Kubernetes-Zugangsdaten, SSH- und GPG-Schlüsseln, Browser-Sitzungen sowie Daten von 28 Krypto-Wallet-Erweiterungen.
Die Liste erinnert stark an die Vergiftung von LiteLLM im Vormonat. Am 21. Oktober wurde LiteLLM 1.107.0 manipuliert und auf PyPI veröffentlicht; auch dort zielte die Schadsoftware auf Browser-Zugangsdaten und Cloud-Schlüssel, und Wiz machte öffentlich, dass die Angreifer bereits wenige Stunden später begannen, die erbeuteten AWS-Zugangsdaten zu prüfen. Die Einfallstore der beiden Vorfälle unterscheiden sich stark, das eine liegt in den Abhängigkeiten von Entwicklern, das andere im Spiele-Launcher von Spielern, die Beute ist dennoch weitgehend dieselbe. In lokalen Konfigurationsdateien von Entwicklern liegen oft Klartext-Schlüssel, die sich direkt in Rechenguthaben und Cloud-Ressourcen umsetzen lassen; im LiteLLM-Fall listeten die Angreifer nach der Prüfung der Zugangsdaten die Modelle auf Bedrock auf.
Der Bericht hält ausdrücklich fest, was nicht bestätigt ist: wie die Angreifer Schreibzugriff auf das CDN erhielten, wie groß die tatsächliche Infektion ist und ob im selben Zeitraum weitere Assets kompromittiert wurden. Der Autor erklärt zudem, das schädliche Skript der zweiten Stufe nicht unabhängig rekonstruiert zu haben; die im Code gefundene K2F-Kennung und Zertifikatsangaben taugten nicht als Grundlage für eine Zuordnung. Ob der Vorfall mit dem LiteLLM-Fall zusammenhängt, dafür gibt es derzeit keinerlei Belege.
Selbstprüfung und Gegenmaßnahmen
Wer die PC-Version gespielt hat, kann so prüfen:
- Die Datei
debug.logunterLauncher/intl_serviceim NIKKE-Installationsordner öffnen und nachk2f_chansuchen. Taucht die Zeichenfolge auf, wurde das Fernsteuerungsprogramm möglicherweise ausgeführt. - Bis zur offiziellen Bestätigung einer Korrektur den PC-Launcher vorerst nicht starten und vor der nächsten Nutzung seinen Cache leeren.
- Bei gefundenen Spuren zuerst den Rechner isolieren und Beweise sichern, dann von einem sauberen Gerät aus Passwörter ändern, alle Sitzungen abmelden sowie API-Tokens und SSH-Schlüssel widerrufen.
- Wallet-Seed-Phrasen lassen sich nicht durch Rotation retten; hier muss eine neue Wallet angelegt und das Guthaben dorthin übertragen werden.
Der Bericht warnt außerdem, dass der Trojaner seinen Loader neu installieren kann, Dateihashes allein daher kein verlässliches Kriterium sind, und dass man nicht einfach das gesamte Chrome-Verzeichnis löschen sollte.
Quellen: unabhängiger Analysebericht auf GitHub, InvenGlobal, CocoLoop; zur Zahl der betroffenen Dateien widersprechen sich beide Darstellungen, Infektionsumfang und Einfallstor sind unbestätigt, eine offizielle Stellungnahme steht aus.