《勝利女神：妮姬》國際服 PC 客戶端遭供應鏈投毒，可能竊取密碼、金鑰及加密貨幣錢包資料

《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服 PC 客户端遭遇供应链投毒攻击。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。

这次攻击不仅针对游戏账号，还可能窃取浏览器密码、SSH 私钥、API 密钥，甚至加密货币钱包数据。

感谢 @Fiend_FEARing 同学的提醒。

黑客能做什么？

根据安全研究人员公布的技术报告，攻击者通过被污染的 JavaScript 文件下载并执行 LuaJIT 恶意程序。

这是一种远程控制木马（RAT），具备 19 条操作命令，包括：

研究人员还发现，恶意程序包含约 1790 条敏感文件目标路径，其中涉及 Claude Code、Cursor、Gemini CLI 等 AI 开发工具。

首先，找到 NIKKE 游戏安装目录中的日志文件：

Launcher\intl_service\debug.log

搜索关键词：

k2f_chan

如果出现以下内容：

"k2f_chan registered"
"adopted uuid"

说明存在恶意代码运行的重要迹象，需要按照可能感染处理。

另外，恶意程序可能在以下位置植入 DLL：

%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\

文件名为 platform_experience_helper.dll，位于以 64 位十六进制字符串命名的子目录中。

注意：找到 k2f_chan 并不意味着所有密码都已经被成功窃取；没有找到也不能完全排除感染。

如果确认中招，应立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换 SSH 私钥和 API Token。涉及加密货币钱包的，应考虑创建新钱包并转移资产。

由于木马具备远程命令执行能力，确认感染的电脑建议重装系统，避免恶意程序残留。

截至 2026 年 11 月 4 日，NIKKE 运营方已经承认 PC 启动器脚本存在疑似第三方篡改的异常，并表示完成紧急修正。

安全研究人员复核发现，四个已知被污染的官方 JavaScript 文件已经恢复正常。

不过，攻击者究竟如何获得官方 CDN 文件的修改权限、实际有多少玩家感染、是否发生大规模数据泄露，目前仍没有明确答案。

而且，官方修复启动器，并不会自动清除此前已经安装到玩家电脑中的木马。

近期运行过 NIKKE 国际服 PC 客户端的玩家，建议尽快自查。

另外，事件还有一个颇为离奇的后续：

来自 ngabbs 社区的消息，攻击者控制的服务疑似已经关闭，启动器加载的代码随后回退到 insightjs[.]org。该域名据称已被一名第三方注册，并被用于向玩家展示安全警告。

也就是说，部分玩家在游戏启动器里看到的警告公告，可能并非游戏官方发布，而是由控制该域名的第三方下发。

参考资料