Jogadores e pesquisadores independentes descobriram que arquivos oficiais da CDN carregados pelo launcher para PC de Goddess of Victory: NIKKE foram adulterados. Um relatório de análise publicado no GitHub em 3 de novembro afirma que o carregador inserido baixa e executa um trojan de acesso remoto, e que a máquina afetada deve ser tratada como totalmente comprometida.
Até a publicação da InvenGlobal, nem a desenvolvedora SHIFT UP nem a publicadora Level Infinite se manifestaram publicamente. Todos os marcos de tempo abaixo vêm de análises externas, sem comunicado oficial para comparação.
Cronologia e duas divergências
A cronologia reunida pela InvenGlobal é esta: em 27 de setembro, código do atacante entrou em três arquivos JavaScript oficiais na CDN, carregados sempre que o launcher é aberto; em 28 de outubro, o terceiro arquivo foi limpo na origem; pelo menos desde 1.º de novembro, abrir o launcher podia baixar e executar um programa de controle remoto, mas nem toda abertura o acionava; em 3 de novembro, dois arquivos foram substituídos às 17:04 e 17:21 (horário de Greenwich), às 18:31 o servidor do atacante parou de responder e, às 18:59, dois nós da CDN ainda serviam cópias alteradas.
O relatório do GitHub diverge um pouco. Ele menciona quatro ativos oficiais, dos quais FeedList e vue-bucket estão confirmados, e diz que, na nova verificação de 4 de novembro, os quatro já tinham voltado a versões limpas. A data de 27 de setembro que ele cita é o dia em que o domínio de controle insightjs.com foi registrado de novo, após cerca de cinco anos inativo. O relatório também aponta que o carregador só executou a carga útil cerca de 37 dias depois de entrar em posição, período em que quem abria o launcher talvez não notasse nada de anormal.
Por que um trojan de jogo quer a configuração do Claude Code
Segundo o relatório, o trojan tem 19 comandos, que cobrem execução arbitrária de comandos, shell interativo, transferência de arquivos, captura de tela e coleta de credenciais. Seus caminhos de coleta somam cerca de 1.790, e entre as ferramentas de IA e de desenvolvimento citadas nominalmente estão Claude Code, Gemini CLI, Cursor, Windsurf e configurações de MCP. Os alvos incluem ainda chaves de API e tokens OAuth de provedores de IA, chaves de serviços de nuvem, tokens de repositórios de pacotes, credenciais de CI e Kubernetes, chaves SSH e GPG, sessões de navegador e dados de 28 extensões de carteiras de criptomoedas.
Essa lista lembra bastante o envenenamento do LiteLLM no mês passado. Em 21 de outubro, o LiteLLM 1.107.0 foi adulterado e publicado no PyPI; o programa de roubo também mirava credenciais de navegador e chaves de nuvem, e a Wiz revelou que, poucas horas depois, os atacantes já validavam as credenciais da AWS obtidas. As portas de entrada dos dois incidentes são muito diferentes, uma nas dependências de desenvolvedores e outra no launcher de jogadores, mas o que se quer levar é altamente coincidente. Os arquivos de configuração locais de desenvolvedores costumam guardar chaves em texto puro, que podem ser trocadas diretamente por cota de computação e recursos de nuvem; no caso do LiteLLM, depois de validar as credenciais, os atacantes foram listar os modelos no Bedrock.
O relatório afirma explicitamente o que não foi confirmado: como o atacante obteve permissão de escrita na CDN, a escala real da infecção e se outros ativos foram contaminados no mesmo período. O autor também diz que não reconstituiu de forma independente o script malicioso da segunda etapa, e que a marca K2F e as informações de certificado no código não servem como base de atribuição. Até o momento, não há nenhuma evidência de ligação entre este incidente e o caso do LiteLLM.
Autoverificação e providências
Quem jogou a versão para PC pode verificar assim:
- Abra o arquivo
debug.logemLauncher/intl_service, dentro da pasta de instalação de NIKKE, e procure pork2f_chan. Se a sequência aparecer, o programa de controle remoto pode ter sido executado. - Até que a correção seja confirmada oficialmente, não inicie o launcher para PC por enquanto e limpe o cache dele antes de voltar a usá-lo.
- Se encontrar vestígios, isole primeiro a máquina e preserve as evidências; depois, em um dispositivo limpo, troque senhas, encerre todas as sessões e revogue tokens de API e chaves SSH.
- Frases de recuperação de carteiras não podem ser salvas por rotação; é preciso criar uma carteira nova e transferir os ativos.
O relatório também alerta que o trojan consegue reinstalar o próprio carregador, de modo que julgar apenas pelo hash dos arquivos não é confiável, e que não se deve apagar diretamente toda a pasta do Chrome.
Fontes: relatório de análise independente no GitHub, InvenGlobal, CocoLoop; as duas versões divergem quanto ao número de arquivos contaminados, a escala da infecção e o ponto de entrada do ataque não foram confirmados e não houve resposta oficial.