Jugadores e investigadores independientes han detectado que archivos oficiales de la CDN que carga el launcher para PC de Goddess of Victory: NIKKE fueron manipulados. Un informe de análisis publicado en GitHub el 3 de noviembre sostiene que el cargador insertado descarga y ejecuta un troyano de acceso remoto, y que el equipo afectado debe tratarse como totalmente comprometido.
Hasta la publicación de InvenGlobal, ni el desarrollador SHIFT UP ni el distribuidor Level Infinite han respondido públicamente. Todas las fechas y horas que siguen proceden de análisis externos, sin comunicado oficial con el que contrastarlas.
Cronología y dos puntos que no cuadran
La cronología que recoge InvenGlobal es la siguiente: el 27 de septiembre, código del atacante entró en tres archivos JavaScript oficiales de la CDN, que el launcher carga al abrirse; el 28 de octubre, el tercer archivo se limpió en origen; como muy tarde desde el 1 de noviembre, abrir el launcher podía descargar y ejecutar un programa de control remoto, aunque no ocurría en todas las aperturas; el 3 de noviembre, dos archivos se sustituyeron a las 17:04 y las 17:21 (hora GMT), a las 18:31 el servidor del atacante dejó de responder y a las 18:59 todavía había dos nodos de la CDN sirviendo copias modificadas.
El informe de GitHub difiere un poco. Menciona cuatro activos oficiales, de los cuales confirma FeedList y vue-bucket, y dice que en la revisión del 4 de noviembre los cuatro ya habían vuelto a versiones limpias. El 27 de septiembre que da es el día en que se volvió a registrar el dominio de control insightjs.com tras unos cinco años inactivo. El informe añade que el cargador ejecutó la carga útil unos 37 días después de quedar en su sitio, un periodo en el que quien abría el launcher quizá no notara nada raro.
Por qué un troyano de videojuego quiere la configuración de Claude Code
Según el informe, el troyano tiene 19 comandos, que abarcan ejecución arbitraria de comandos, shell interactiva, transferencia de archivos, capturas de pantalla y recolección de credenciales. Sus rutas de recolección rondan las 1.790, y entre las herramientas de IA y desarrollo nombradas expresamente figuran Claude Code, Gemini CLI, Cursor, Windsurf y configuraciones de MCP. También apunta a claves de API y tokens OAuth de proveedores de IA, claves de servicios en la nube, tokens de repositorios de paquetes, credenciales de CI y Kubernetes, claves SSH y GPG, sesiones del navegador y datos de 28 extensiones de monederos de criptomonedas.
Esta lista se parece mucho al envenenamiento de LiteLLM del mes pasado. El 21 de octubre, LiteLLM 1.107.0 fue manipulado y subido a PyPI; el programa de robo también iba tras credenciales del navegador y claves de la nube, y Wiz reveló que, pocas horas después, los atacantes ya estaban validando las credenciales de AWS robadas. Las vías de entrada de ambos incidentes son muy distintas, una en las dependencias de los desarrolladores y otra en el launcher de los jugadores, pero lo que se quieren llevar coincide en gran medida. Los archivos de configuración locales de los desarrolladores suelen guardar claves en texto plano, que pueden convertirse directamente en cuota de cómputo y recursos en la nube; en el caso de LiteLLM, tras validar las credenciales, los atacantes fueron a listar los modelos en Bedrock.
El informe deja escrito de forma explícita lo que no está confirmado: cómo obtuvo el atacante permiso de escritura en la CDN, la escala real de la infección y si en el mismo periodo se contaminaron otros activos. El autor aclara además que no reconstruyó de forma independiente el script malicioso de la segunda fase, y que la marca K2F y los datos del certificado que aparecen en el código no sirven como base para atribuir el ataque. Por ahora no hay ninguna prueba de que este incidente guarde relación con el caso de LiteLLM.
Autocomprobación y medidas
Quien haya jugado a la versión de PC puede comprobarlo así:
- Abra el archivo
debug.logenLauncher/intl_service, dentro de la carpeta de instalación de NIKKE, y busquek2f_chan. Si aparece esa cadena, el programa de control remoto pudo haberse ejecutado. - Hasta que se confirme oficialmente la corrección, no inicie por ahora el launcher de PC y borre su caché antes de volver a usarlo.
- Si encuentra rastros, aísle primero el equipo y conserve las pruebas; después, desde un dispositivo limpio, cambie las contraseñas, cierre todas las sesiones y revoque los tokens de API y las claves SSH.
- Las frases semilla de los monederos no se arreglan rotándolas; hay que crear un monedero nuevo y transferir los activos.
El informe advierte también de que el troyano puede reinstalar su propio cargador, por lo que guiarse solo por el hash de los archivos no es fiable, y de que no conviene borrar sin más todo el directorio de Chrome.
Fuentes: informe de análisis independiente en GitHub, InvenGlobal, CocoLoop; las dos versiones difieren en el número de archivos contaminados, la escala de la infección y la vía de entrada no están confirmadas y no ha habido respuesta oficial.