Най-важната новина
Беше докладвано за пробив в стартиращия панел (launcher) на NIKKE PC. Между 27 септември и 3 ноември 2026 г., два официални JavaScript файла, хоствани на CDN сървъра на Level Infinite, бяха модифицирани, така че стартовият панел да може да изтегля и изпълнява зловреден код. Докладът посочва, че този код стана активен около 2-3 ноември и потенциално е позволявал на атакуващ да изпълнява команди, да чете файлове, да прави снимки на екрана и да краде идентификационни данни от засегнатите системи.
Актуално състояние
Според информацията, Level Infinite е заменила двата модифицирани файла на CDN сървъра на 3 ноември 2026 г., в 17:04 и 17:21 GMT. Обновените файлове са описани като такива, които вече не съдържат кода за зареждане (loader). Въпреки това, поправката автоматично не премахва зловредния код от системите, които вече са били засегнати, и запазени копия на модифицираните файлове могат да останат в стартовия панел. Препоръчва се на потребителите да не отварят стартовия панел, докато поправката не бъде потвърдена, и първо да изчистят кеша.
Кой трябва да е внимателен
Докладваната заплаха засяга всички, които са стартирали клиентската програма NIKKE PC през активния период на Windows, както и тези, използващи Linux и Steam Deck чрез Proton. Това включва и потребители, чиито стартови панели все още зареждат модифицирани файлове от кеша. Докладът подчертава, че Proton не прави системата неуязвима, тъй като отдалечените команди могат да получат достъп до картотеки (mapped drives) и системни променливи, налични за потребителя на Linux.
Какво можеше да направи зловредният код
Зловредният код е описан като инструмент за пълен отдалечен достъп, а не просто крадец на данни. Докато стартовият панел работеше, операторът би могъл да изпълнява произволни команди, да разглежда файловата система, да изтегля файлове, да прави снимки на екрана и да събира идентификационни данни от браузъри, Windows Credential Manager, конфигурации за SSH, облачни инструменти, среди за разработка и крипто портфейли.
В Windows, зловредният код също можеше да инсталира персистентност (постоянен достъп) чрез "хак" на DLL файл, свързан с Chrome. Тъй като атакуващият е имал широки възможности за изпълнение на команди, докладът третира заразената машина като потенциално компрометирана в нивото на засегнатия потребителски акаунт.
Препоръчителни действия
Докладът препоръчва следните стъпки:
- Не отваряйте стартовия панел NIKKE PC, докато Level Infinite не потвърди, че проблемът е решен.
- Изчистете кеша на стартовия панел, преди да го използвате отново, особено папката
tbs_cacheв директорията с данните на стартовия панел. - Блокирайте посочените домейни и IP адреси в настройките за hosts, рутер или защитна стена (firewall), като имайте предвид, че атакуващият може да използва различна инфраструктура.
- Ако е установено заразяване, затворете стартовия панел или прекъснете връзката на машината от мрежата, за да спрете отдалечения достъп.
- В Windows, премахнете папката за персистентност на Chrome и злонамерения запис CLSID в регистъра HKCU, ако присъства.
- Третирайте паролите, сесиите, API токените, SSH ключовете, облачните идентификационни данни и крипто портфейлите като компрометирани и ги сменете или преместете от чиста система.
- Обмислете преинсталиране на операционната система на засегнатите машини, особено ако там са съхранявани чувствителни идентификационни данни или е имало повишен достъп.
Признаци, които трябва да се проверят
Потребителите могат да проверят дневника за отстраняване на грешки (debug log) на стартовия панел за маркера k2f_chan. Докладът посочва, че наличието му показва, че зловредният код е работил на машината. Също така се споменават записи в дневника, свързани със сваления пакет и стартирането на зловредния код, като се отбелязва, че дневниците могат да бъдат презаписани при всяко стартиране и може да не запазят предишна активност.
Технически детайли
Според доклада, пробивът е започнал, когато към два легитимни JavaScript файла на стартовия панел, сервирани от CDN сървъра на Level Infinite, е бил добавен код. Вмъкнатият код е зареждал външен "зареждащ" модул (loader), който е изтеглял зловреден код LuaJIT. Зловредният код е бил криптиран и е използвал специален канал за получаване на команди и връщане на отговори. Инфраструктурата включва IP адрес, хостван в Исландия, и домейн, регистриран приблизително по същото време, когато CDN файловете са били модифицирани.
Докладът посочва, че зловредният код е анализиран статично и не е бил изпълняван по време на разследването. Той е проверен спрямо свалените файлове, дневниците на стартовия панел, кеша и активните сървъри.
Ключови индикатори от доклада:
- Модифицирани CDN файлове:
aegis-fix.min.jsиimages.7fec4c32.js - Домейни на външния "зареждащ" модул (loader):
insightjs.comи резервен вариантinsightjs.org - URL адрес на зловредния код:
analytics.insightjs.com/comm/assets/insight.bundle - Посочен IP адрес:
89.127.233.127 - Маркер в дневника:
k2f_chan
Отворени въпроси
Към последната актуализация на доклада, остават няколко въпроса: как атакуващият е получил право за запис на CDN сървъра на Level Infinite, дали запазените копия все още излагат потребителите на риск, дали атакуващият може да използва нови домейни и дали Level Infinite е издала официално съобщение. Докладът посочва, че старите CDN файлове са били заменени, но зловредният код все още е бил активен при проверката.
Коментари
Остави коментар