Người chơi và các nhà nghiên cứu độc lập phát hiện rằng các tệp CDN chính thức mà launcher bản PC của Goddess of Victory: NIKKE tải về đã bị can thiệp. Một báo cáo phân tích công bố trên GitHub ngày 3/11 cho biết trình tải được cài vào sẽ tải xuống và chạy một trojan truy cập từ xa; máy chủ bị ảnh hưởng cần được coi là đã bị chiếm quyền hoàn toàn.
Đến thời điểm InvenGlobal đăng bài, nhà phát triển SHIFT UP và nhà phát hành Level Infinite đều chưa phản hồi công khai. Mọi mốc thời gian dưới đây đều đến từ phân tích bên ngoài, không có thông báo chính thức nào để đối chiếu.
Dòng thời gian và hai điểm chưa khớp
Theo dòng thời gian InvenGlobal tổng hợp: ngày 27/9, mã của kẻ tấn công xuất hiện trong ba tệp JavaScript chính thức trên CDN, được launcher tải mỗi khi mở; ngày 28/10, tệp thứ ba được dọn sạch tại nguồn; muộn nhất từ ngày 1/11, việc mở launcher có thể tải xuống và chạy chương trình điều khiển từ xa, nhưng không phải lần nào cũng kích hoạt; ngày 3/11, hai tệp bị thay thế lúc 17:04 và 17:21 (giờ GMT), đến 18:31 máy chủ của kẻ tấn công ngừng phản hồi, và lúc 18:59 vẫn còn hai nút CDN phát bản đã bị sửa.
Báo cáo trên GitHub nói hơi khác. Báo cáo nhắc đến bốn tài sản chính thức, trong đó hai tệp FeedList và vue-bucket đã được xác nhận, và cho biết khi kiểm tra lại ngày 4/11 cả bốn đều đã trở về bản sạch. Mốc 27/9 trong báo cáo là ngày tên miền điều khiển insightjs.com được đăng ký lại sau khoảng năm năm bỏ trống. Báo cáo cũng ghi nhận trình tải chỉ chạy payload sau khoảng 37 ngày kể từ khi vào vị trí, nghĩa là trong khoảng thời gian đó người chơi mở launcher chưa chắc đã thấy dấu hiệu bất thường.
Vì sao một trojan game lại đi lấy cấu hình Claude Code
Theo báo cáo, trojan có 19 lệnh, bao gồm thực thi lệnh tùy ý, shell tương tác, truyền tệp, chụp màn hình và thu thập thông tin xác thực. Nó quét khoảng 1.790 đường dẫn, trong đó các công cụ AI và phát triển được nêu đích danh gồm Claude Code, Gemini CLI, Cursor, Windsurf và cấu hình MCP. Mục tiêu còn có khóa API và token OAuth của các nhà cung cấp dịch vụ AI, khóa dịch vụ đám mây, token kho gói, thông tin xác thực CI và Kubernetes, khóa SSH và GPG, phiên trình duyệt, cùng dữ liệu của 28 tiện ích mở rộng ví mã hóa.
Danh sách này khá giống vụ đầu độc LiteLLM hồi tháng trước. Ngày 21/10, LiteLLM 1.107.0 bị chỉnh sửa rồi đưa lên PyPI, phần mềm đánh cắp cũng nhắm vào thông tin xác thực trình duyệt và khóa đám mây; Wiz tiết lộ rằng chỉ vài giờ sau, kẻ tấn công đã bắt đầu kiểm tra các thông tin xác thực AWS vừa lấy được. Hai sự việc có điểm xâm nhập rất khác nhau, một bên nằm trong gói phụ thuộc của lập trình viên, một bên nằm trong launcher game của người chơi, nhưng thứ cần lấy lại gần như trùng nhau. Tệp cấu hình cục bộ của lập trình viên thường chứa khóa ở dạng văn bản thuần, và những khóa này có thể đổi thẳng thành hạn mức tính toán và tài nguyên đám mây; trong vụ LiteLLM, sau khi xác minh thông tin xác thực, kẻ tấn công đã đi liệt kê các mô hình trên Bedrock.
Báo cáo nêu rõ một số điều chưa được xác nhận: kẻ tấn công lấy được quyền ghi vào CDN bằng cách nào, quy mô lây nhiễm thực tế, và cùng thời gian đó còn tài sản nào khác bị nhiễm hay không. Tác giả cũng cho biết họ không tự khôi phục được script giai đoạn hai độc hại, và thương hiệu K2F cùng thông tin chứng chỉ trong mã không thể dùng làm căn cứ quy kết. Hiện chưa có bằng chứng nào cho thấy sự việc này liên quan đến vụ LiteLLM.
Tự kiểm tra và xử lý
Người dùng từng chơi bản PC có thể kiểm tra như sau:
- Mở tệp
debug.logtrong thư mụcLauncher/intl_servicecủa thư mục cài đặt NIKKE và tìm chuỗik2f_chan. Nếu xuất hiện, chương trình điều khiển từ xa có thể đã từng chạy. - Trước khi có xác nhận chính thức về việc đã khắc phục, tạm thời không khởi động launcher bản PC; trước khi dùng lại, hãy xóa bộ nhớ đệm của nó.
- Nếu tìm thấy dấu vết, hãy cô lập máy này và giữ lại bằng chứng trước, rồi dùng một thiết bị sạch để đổi mật khẩu, đăng xuất mọi phiên, thu hồi token API và khóa SSH.
- Cụm từ khôi phục ví không thể khắc phục bằng cách xoay vòng; cần tạo ví mới rồi chuyển tài sản sang.
Báo cáo cũng lưu ý rằng trojan có thể cài lại trình tải của chính nó, nên chỉ dựa vào mã băm tệp để đánh giá là không đáng tin, và cũng không nên xóa thẳng cả thư mục Chrome.
Nguồn tham khảo: báo cáo phân tích độc lập trên GitHub, InvenGlobal, CocoLoop; số lượng tệp bị nhiễm được hai bên nêu không giống nhau, quy mô lây nhiễm và điểm xâm nhập đều chưa được xác nhận, phía chính thức chưa phản hồi.