---
title: 《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包
date: 2026-11-04T09:00:51Z
modified: 2026-11-04T09:02:36Z
permalink: "https://www.appinn.com/nikke-pc-launcher-supply-chain-attack-2/"
type: post
status: publish
excerpt: ""
wpid: 58204
categories:
  - 游戏
  - 安全情报
tags:
  - 游戏
  - 安全情报
  - 供应链攻击
  - 妮姬
featured_image: "https://www.appinn.com/wp-content/uploads/2026/11/E5A6AEE5A7ACE5AEA2E688B7E7ABAFE4BE9BE5BA94E993BEE5AE89E585A8E8ADA6E7A4BA.jpg"
author: 青小蛙
timestamp: 2026-11-04T09:02:36Z
---

《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服 PC 客户端遭遇**供应链投毒攻击**。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。

**这次攻击不仅针对游戏账号，还可能窃取浏览器密码、SSH 私钥、API 密钥，甚至加密货币钱包数据。**

![](https://www.appinn.com/wp-content/uploads/2026/11/E5A6AEE5A7ACE5AEA2E688B7E7ABAFE4BE9BE5BA94E993BEE5AE89E585A8E8ADA6E7A4BA.jpg)

感谢 @Fiend\_FEARing 同学的提醒。

## 黑客能做什么？

根据[安全研究人员公布的技术报告](https://github.com/WormW/nikke_malware_analysis)，攻击者通过被污染的 JavaScript 文件下载并执行 LuaJIT 恶意程序。

这是一种远程控制木马（RAT），具备 19 条操作命令，包括：

- **浏览器数据**：Chrome、Edge、Firefox 等浏览器的密码、Cookie、登录会话；
- **开发者凭据**：SSH 私钥、GitHub、GitLab、AWS、OpenAI、Anthropic 等服务的密钥和 Token；
- **加密货币钱包**：读取钱包相关文件、扩展数据及可能包含私钥的敏感信息；
- **远程控制**：读取文件、截图、执行系统命令、启动任意程序；
- **持久化驻留**：通过 Chrome 相关目录植入恶意 DLL，使木马可能在游戏退出后继续存在。

研究人员还发现，恶意程序包含约 **1790 条敏感文件目标路径**，其中涉及 Claude Code、Cursor、Gemini CLI 等 AI 开发工具。

## 如何检查是否中招？

首先，找到 NIKKE 游戏安装目录中的日志文件：

`Launcher\intl_service\debug.log`

搜索关键词：

`k2f_chan`

如果出现以下内容：


"k2f_chan registered"
"adopted uuid"


说明存在恶意代码运行的重要迹象，需要按照可能感染处理。

另外，恶意程序可能在以下位置植入 DLL：

`%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\`

文件名为 `platform_experience_helper.dll`，位于以 64 位十六进制字符串命名的子目录中。

**注意：找到** `<strong>k2f_chan</strong>` **并不意味着所有密码都已经被成功窃取；没有找到也不能完全排除感染。**

如果确认中招，应立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换 SSH 私钥和 API Token。涉及加密货币钱包的，应考虑创建新钱包并转移资产。

由于木马具备远程命令执行能力，**确认感染的电脑建议重装系统**，避免恶意程序残留。

## 官方修复了吗？

截至 2026 年 11 月 4 日，NIKKE 运营方已经承认 PC 启动器脚本存在疑似第三方篡改的异常，并表示完成紧急修正。

安全研究人员复核发现，**四个已知被污染的官方 JavaScript 文件已经恢复正常**。

不过，攻击者究竟如何获得官方 CDN 文件的修改权限、实际有多少玩家感染、是否发生大规模数据泄露，目前仍没有明确答案。

而且，**官方修复启动器，并不会自动清除此前已经安装到玩家电脑中的木马。**

近期运行过 NIKKE 国际服 PC 客户端的玩家，建议尽快自查。

另外，事件还有一个颇为离奇的后续：

来自 [ngabbs](https://ngabbs.com/read.php?tid=47843502&rand=313) 社区的消息，攻击者控制的服务疑似已经关闭，启动器加载的代码随后回退到 `insightjs[.]org`。该域名据称已被一名第三方注册，并被用于向玩家展示安全警告。

**也就是说，部分玩家在游戏启动器里看到的警告公告，可能并非游戏官方发布，而是由控制该域名的第三方下发。**

---

**参考资料**

- [WormW：NIKKE 恶意程序技术分析及检测规则](https://github.com/WormW/nikke_malware_analysis)
- [MotherSphere：NIKKE PC Launcher 供应链攻击调查](https://gist.github.com/MotherSphere/d6c049a09ba8ac3085c51ee9df24a4e5)

## Topics

**分类目录:** [游戏](https://www.appinn.com/category/games/?output_format=md), [安全情报](https://www.appinn.com/category/security/?output_format=md)

**标签:** [供应链攻击](https://www.appinn.com/tag/%e4%be%9b%e5%ba%94%e9%93%be%e6%94%bb%e5%87%bb/?output_format=md), [妮姬](https://www.appinn.com/tag/%e5%a6%ae%e5%a7%ac/?output_format=md)