Launcher NIKKE diduga diracuni, trojan incar kredensial alat AI

Pemain dan peneliti independen menemukan bahwa file di CDN resmi yang dimuat launcher PC Goddess of Victory: NIKKE telah dirusak. Laporan analisis yang dipublikasikan di GitHub pada 3 November menyebut loader yang disisipkan akan mengunduh dan menjalankan trojan akses jarak jauh, sehingga komputer yang terdampak harus diperlakukan sebagai sudah sepenuhnya dikuasai.

Hingga InvenGlobal menayangkan beritanya, pengembang SHIFT UP dan penerbit Level Infinite belum memberikan tanggapan terbuka. Semua titik waktu di bawah ini berasal dari analisis pihak luar, tanpa pengumuman resmi sebagai pembanding.

Kronologi dan dua hal yang tidak cocok

Kronologi yang disusun InvenGlobal adalah sebagai berikut. Pada 27 September, kode penyerang masuk ke tiga file JavaScript resmi di CDN yang dimuat launcher saat dibuka. Pada 28 Oktober, file ketiga dibersihkan di sumbernya. Paling lambat sejak 1 November, membuka launcher bisa mengunduh dan menjalankan program akses jarak jauh, meskipun tidak terpicu setiap kali. Pada 3 November pukul 17.04 dan 17.21 GMT dua file diganti; pukul 18.31 server penyerang berhenti merespons; dan pukul 18.59 masih ada dua node CDN yang menyajikan salinan yang telah diubah.

Laporan di GitHub sedikit berbeda. Laporan itu menyebut empat aset resmi, dua di antaranya, FeedList dan vue-bucket, telah dikonfirmasi, dan menyatakan bahwa saat diperiksa ulang pada 4 November keempatnya sudah kembali ke versi bersih. Tanggal 27 September dalam laporan itu adalah hari ketika domain kendali insightjs.com didaftarkan ulang setelah tidak aktif sekitar lima tahun. Laporan juga menyebut muatan baru dijalankan sekitar 37 hari setelah loader terpasang, sehingga pemain yang membuka launcher selama rentang itu belum tentu melihat keanehan.

Mengapa trojan game mencuri konfigurasi Claude Code

Menurut laporan, trojan ini memiliki 19 perintah yang mencakup eksekusi perintah sembarang, shell interaktif, transfer file, tangkapan layar, dan pengumpulan kredensial. Jalur yang dikumpulkannya berjumlah sekitar 1.790, dan alat AI serta pengembangan yang disebut namanya antara lain Claude Code, Gemini CLI, Cursor, Windsurf, dan konfigurasi MCP. Sasarannya juga mencakup kunci API dan token OAuth penyedia layanan AI, kunci layanan cloud, token registri paket, kredensial CI dan Kubernetes, kunci SSH dan GPG, sesi peramban, serta data dari 28 ekstensi dompet kripto.

Daftar ini sangat mirip dengan insiden peracunan LiteLLM bulan lalu. Pada 21 Oktober, LiteLLM 1.107.0 yang telah dirusak diunggah ke PyPI; pencuri informasinya juga mengincar kredensial peramban dan kunci cloud, dan Wiz mengungkapkan bahwa penyerang mulai memvalidasi kredensial AWS curian hanya beberapa jam kemudian. Pintu masuk kedua insiden sangat berbeda, yang satu lewat dependensi pengembang dan yang lain lewat launcher game pemain, tetapi yang diincar sebagian besar sama. File konfigurasi lokal pengembang sering menyimpan kunci dalam teks biasa, dan kunci itu bisa langsung ditukar menjadi kuota komputasi dan sumber daya cloud; dalam kasus LiteLLM, setelah memvalidasi kredensial, penyerang langsung mendaftar model yang tersedia di Bedrock.

Laporan itu secara tegas menulis beberapa hal yang belum dikonfirmasi: bagaimana penyerang memperoleh akses tulis ke CDN, skala infeksi yang sebenarnya, dan apakah aset lain ikut tercemar pada periode yang sama. Penulisnya juga menyatakan tidak berhasil memulihkan skrip tahap kedua yang berbahaya secara independen, dan bahwa merek K2F serta informasi sertifikat di dalam kode tidak dapat dijadikan dasar atribusi. Saat ini tidak ada bukti sama sekali bahwa insiden ini berkaitan dengan kasus LiteLLM.

Cara memeriksa dan menanganinya

Pengguna yang pernah memainkan versi PC dapat memeriksa dengan cara berikut:

1. Buka debug.log di folder Launcher/intl_service dalam direktori instalasi NIKKE, lalu cari k2f_chan. Jika string ini muncul, program akses jarak jauh kemungkinan pernah berjalan.
2. Sebelum perbaikan resmi dikonfirmasi, jangan jalankan launcher PC dulu, dan bersihkan cache-nya sebelum digunakan lagi.
3. Jika ditemukan jejak, isolasi komputer itu dan amankan bukti terlebih dahulu, lalu dari perangkat yang bersih ganti kata sandi, keluar dari semua sesi, serta cabut token API dan kunci SSH.
4. Frasa pemulihan dompet tidak bisa diselamatkan dengan rotasi; buat dompet baru lalu pindahkan asetnya.

Laporan itu juga mengingatkan bahwa trojan ini dapat memasang ulang loader miliknya sendiri, sehingga menilai hanya dari hash file tidak dapat diandalkan, dan jangan langsung menghapus seluruh direktori Chrome.

Sumber: laporan analisis independen di GitHub, InvenGlobal, CocoLoop; jumlah file yang tercemar berbeda menurut kedua pihak, skala infeksi dan pintu masuk serangan belum dikonfirmasi, dan pihak resmi belum menanggapi.