NIKKE: launcher PC manomesso con malware di controllo remoto

Cosa è successo

Un attaccante ha modificato quattro file JavaScript che il launcher di NIKKE per PC scarica dal sistema di distribuzione dell'editore (il CDN, il server che consegna i file ai giocatori). Secondo il ricercatore MotherSphere, le modifiche risalgono al 27 settembre 2026. Il codice aggiunto caricava uno script da insightjs.com.

Quello script scaricava un programma di controllo remoto (un programma che permette a qualcuno da lontano di comandare il tuo computer). Secondo MotherSphere, dal 23 ottobre 2026 al più tardi succedeva su alcuni avvii del launcher.

Level Infinite ha scritto su X che i file di script del launcher «possono essere stati manomessi da una terza parte» e che stava valutando l'impatto. Il 4 novembre ha rilasciato un aggiornamento del client (BleepingComputer, MotherSphere). Secondo WormW, in quel giorno uno dei file serviva ancora la copia avvelenata in alcune richieste, e risultava pulito alle 07:14 UTC.

Cosa poteva fare il programma

Secondo tutte e tre le fonti il programma poteva eseguire comandi sul PC, leggere e scaricare file, fare schermate e raccogliere i dati salvati nei browser. Su Windows poteva installare anche una DLL (un file di programma, chiamata platform_experience_helper.dll secondo BleepingComputer) per restare attivo anche dopo la chiusura del launcher; MotherSphere e WormW aggiungono che si installava nella cartella di Chrome, con una chiave di registro.

Tutte e tre le fonti dicono che il programma poteva cercare i portafogli crypto. BleepingComputer aggiunge che nella DLL esaminata c'era codice per le estensioni MetaMask, Phantom e Coinbase Wallet. Secondo un aggiornamento del 6 novembre allo stesso articolo di BleepingComputer, diversi giocatori hanno trovato la DLL sul proprio PC. Se qualcosa sia stato rubato non è noto.

Cosa fare se giochi su PC

Indicazioni di BleepingComputer e del ricercatore MotherSphere.

1. Non aprire il launcher finché non hai cancellato la cartella tbs_cache: la cache può contenere i file modificati e ricaricarli (MotherSphere, WormW), e le aperture successive possono sovrascrivere il log che ti serve al passo 2 (WormW).
2. Apri nella cartella del gioco il file Launcher/intl_service/debug.log e cerca la riga k2f_chan registered. Se c'è, il programma è partito almeno una volta; la riga non dice se abbia installato la DLL (BleepingComputer). Salva una copia del log prima di cancellare qualsiasi cosa.
3. Se la riga c'è, chiudi il launcher, scollega il PC dalla rete e considera il computer compromesso: BleepingComputer consiglia di reinstallare Windows e, da un dispositivo pulito, cambiare le password.
4. In ogni caso, se hai usato il launcher, fai una scansione completa con un antivirus aggiornato (consiglio di BleepingComputer).
5. Prima di cancellare la cartella tbs_cache, copiala altrove: BleepingComputer consiglia di conservare anche questa cartella, non solo il log. Poi cancellala. Solo dopo apri il launcher e aggiornalo: l'editore ha rilasciato la correzione il 4 novembre.
6. Da un altro dispositivo pulito (per esempio il telefono) cambia le password di gioco, email, banca e servizi salvati nel browser se hai aperto il launcher dal 23 ottobre in poi secondo MotherSphere; il codice dannoso però era già nei file dal 27 settembre (confermato anche da WormW), quindi nel dubbio cambiale comunque se hai usato il launcher in quel periodo.
7. Nostro consiglio, non delle fonti: se usi un portafoglio crypto con estensione nel browser, valuta di spostare i fondi su un portafoglio nuovo creato da un dispositivo pulito.

Cosa non si sa

Fonti lette per intero: BleepingComputer (4 novembre 2026) e le analisi pubblicate su GitHub da MotherSphere e WormW. BleepingComputer cita MotherSphere, quindi le conferme indipendenti sono due.

Non risulta nelle fonti lette: quanti giocatori siano stati colpiti, come l'attaccante sia entrato nel sistema dell'editore, chi sia, e se qualche portafoglio crypto sia stato davvero svuotato.

Secondo WormW anche chi usa il launcher con Proton su Linux o Steam Deck può essere colpito; la DLL per Chrome riguarda solo Windows. L'avviso che compare su insightjs.org (il dominio di riserva usato dall'attacco, insieme a insightjs.com) non è dell'editore: BleepingComputer dice che non si sa chi lo controlli.