Contemplem, meus caros, o lado menos glorioso da tecnologia: o launcher de PC de Goddess of Victory: NIKKE, o programa oficial que o jogador abre para jogar, passou dias entregando malware em vez de só abrir o jogo. A Level Infinite, que opera o jogo no PC, publicou em 5 de novembro um pedido de desculpas, a cronologia do ataque e um guia de verificação. A versão mobile não foi afetada.
O que aconteceu
Segundo a investigação da própria Level Infinite, um domínio usado por alguns serviços do jogo foi sequestrado por terceiros em 27 de setembro. No mesmo dia, quatro arquivos de script que o launcher baixa da CDN oficial foram adulterados. A distribuição de malware pelos scripts começou em 30 de outubro e só foi detectada em 4 de novembro, quando três arquivos foram substituídos por versões limpas e o cache do quarto foi atualizado. Um pesquisador independente, MotherSphere, havia publicado o alerta no GitHub no dia 3.
Na prática, isso significa que quem abriu o launcher nesse intervalo pode ter baixado, sem saber, um agente de acesso remoto chamado K2F. De acordo com a análise do BleepingComputer, ele permitia executar comandos, navegar e baixar arquivos, capturar a tela e coletar credenciais do jogo e dados salvos no navegador. Um componente opcional, uma DLL que continua ativa depois de fechar o launcher, tinha código para roubar dados de carteiras de criptomoedas em extensões como MetaMask, Phantom e Coinbase Wallet. Não se sabe se esse componente chegou a ser usado contra jogadores.
Quem precisa verificar
A Level Infinite pede que todo mundo que abriu o launcher do Windows pelo menos uma vez depois de 27 de setembro às 15h41 (horário da Coreia) faça a verificação. Desde 5 de novembro, 8h (horário da Coreia), o cliente oficial de PC inclui uma função que detecta e remove o malware sozinha: feche todos os navegadores, abra o cliente e aceite a remoção quando o aviso aparecer.
Como checar por conta própria
Para quem prefere não abrir o launcher, o guia oficial descreve uma checagem manual:
- Desconecte da internet e feche o jogo, o launcher e o Chrome; confira na bandeja do Windows que nenhum ícone do NIKKE ficou aberto.
- Na pasta de instalação do launcher, abra o arquivo
Launcher\intl_service\debug.logno Bloco de Notas. - Procure (Ctrl + F) o texto
k2f_chan registered. Se aparecer, o malware pode ter rodado no seu PC: siga o guia de remoção do aviso oficial, que inclui apagar uma entrada específica do registro. - Se não aparecer, o risco não está descartado: atualize o antivírus e faça uma varredura completa; a empresa recomenda também o Microsoft Defender Offline.
Em qualquer caso, a orientação é trocar senhas a partir de um dispositivo limpo, revogar chaves de API e tokens que estivessem salvos no PC e, se houver prejuízo em contas ou dinheiro, acionar o suporte oficial, que diz estar analisando esses casos. A Level Infinite promete compensação dentro do jogo, mais monitoramento, verificação de integridade dos arquivos externos do launcher e o princípio de menor privilégio nas funções do programa.
As desculpas
A equipe de operação do jogo escreveu que “nunca deveria acontecer de um programa oficial executado para curtir o jogo ameaçar, em vez disso, a segurança dos jogadores” e que sente “profunda responsabilidade” pela falha. Kim Hyung-tae, CEO da Shift Up, estúdio que desenvolve NIKKE, também pediu desculpas no X: “Em cooperação com a Level Infinite, estamos mobilizando todos os nossos recursos para encontrar uma solução fundamental para esta questão”.
A Shift Up vive uma semana de contrastes: na mesma quinta-feira, Stellar Blade Complete Edition chegou ao Switch 2. E o caso lembra que ataques à cadeia de suprimentos não são exclusividade das exchanges, como no possível ataque à Binance de outubro: às vezes a porta de entrada é um launcher de jogo. O aviso oficial completo está no site de NIKKE.
Fontes: Level Infinite, Shift Up, BleepingComputer, Inven Global e Chosun.
Lady Combo
Doutor Overclock