《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服 PC 客户端遭遇供应链投毒攻击。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。

这次攻击不仅针对游戏账号，还可能窃取浏览器密码、SSH 私钥、API 密钥，甚至加密货币钱包数据。

感谢 @Fiend_FEARing 同学的提醒。

黑客能做什么？

根据安全研究人员公布的技术报告，攻击者通过被污染的 JavaScript 文件下载并执行 LuaJIT 恶意程序。

这是一种远程控制木马（RAT），具备 19 条操作命令，包括：

• 浏览器数据：Chrome、Edge、Firefox 等浏览器的密码、Cookie、登录会话；
• 开发者凭据：SSH 私钥、GitHub、GitLab、AWS、OpenAI、Anthropic 等服务的密钥和 Token；
• 加密货币钱包：读取钱包相关文件、扩展数据及可能包含私钥的敏感信息；
• 远程控制：读取文件、截图、执行系统命令、启动任意程序；
• 持久化驻留：通过 Chrome 相关目录植入恶意 DLL，使木马可能在游戏退出后继续存在。

研究人员还发现，恶意程序包含约 1790 条敏感文件目标路径，其中涉及 Claude Code、Cursor、Gemini CLI 等 AI 开发工具。

如何检查是否中招？

首先，找到 NIKKE 游戏安装目录中的日志文件：

Launcher\intl_service\debug.log

搜索关键词：

k2f_chan

如果出现以下内容：

"k2f_chan registered"
"adopted uuid"

说明存在恶意代码运行的重要迹象，需要按照可能感染处理。

另外，恶意程序可能在以下位置植入 DLL：

%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\

文件名为 platform_experience_helper.dll，位于以 64 位十六进制字符串命名的子目录中。

注意：找到 k2f_chan 并不意味着所有密码都已经被成功窃取；没有找到也不能完全排除感染。

如果确认中招，应立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换 SSH 私钥和 API Token。涉及加密货币钱包的，应考虑创建新钱包并转移资产。

由于木马具备远程命令执行能力，确认感染的电脑建议重装系统，避免恶意程序残留。

官方修复了吗？

截至 2026 年 11 月 4 日，NIKKE 运营方已经承认 PC 启动器脚本存在疑似第三方篡改的异常，并表示完成紧急修正。

安全研究人员复核发现，四个已知被污染的官方 JavaScript 文件已经恢复正常。

不过，攻击者究竟如何获得官方 CDN 文件的修改权限、实际有多少玩家感染、是否发生大规模数据泄露，目前仍没有明确答案。

而且，官方修复启动器，并不会自动清除此前已经安装到玩家电脑中的木马。

近期运行过 NIKKE 国际服 PC 客户端的玩家，建议尽快自查。

另外，事件还有一个颇为离奇的后续：

来自 ngabbs 社区的消息，攻击者控制的服务疑似已经关闭，启动器加载的代码随后回退到 insightjs[.]org。该域名据称已被一名第三方注册，并被用于向玩家展示安全警告。

也就是说，部分玩家在游戏启动器里看到的警告公告，可能并非游戏官方发布，而是由控制该域名的第三方下发。

参考资料

• WormW：NIKKE 恶意程序技术分析及检测规则
• MotherSphere：NIKKE PC Launcher 供应链攻击调查