NIKKE 确认 PC 启动器文件遭篡改，客户端更新不能清理已感染电脑

11 月 3 日公开的原始分析指出，Level Infinite 官方 CDN 上四个被修改的 JavaScript 文件会加载外部脚本，再通过 PC 启动器内嵌 Chromium 的桥接接口下载 LuaJIT 远控 Agent。研究人员分析了一台受影响电脑及载荷静态代码，并将其他用户的观察标为转述证据。命令可读取文件、执行程序及截屏；分析还识别出浏览器、凭据窃取能力及 Windows Chrome 持久化路径。具有能力不代表每项凭据均已被盗，尚无受害者总数或确认的钱包损失总额。

运营方可读官方片段承认第三方可能篡改脚本，将客户端修复时间标为 11 月 4 日约 02:30 UTC+9，即 11 月 3 日 17:30 UTC。研究人员在 11 月 3 日 22:26 UTC 仍从两台 CDN 节点观察到被修改的 FeedList。WormW 随后报告，11 月 4 日 07:14–07:20 UTC 复查中四个已知官方文件均返回干净内容，包括 FeedList 的标准及带缓存参数请求；外部响应尚不能完全区分源站及中间缓存状态。这些观察涉及不同层面：客户端更新、源站清理、CDN 缓存及已经感染的电脑，不能将通知视为每份缓存或每台电脑均已干净。此前仅能读取初始通知片段；现已读取后续完整官方事件公告及手动指引，新增信息见下文。

研究报告更正了早先建议：PlatformExperienceHelper 父目录属于正常 Chrome 内容，onominan.tmp 不是感染指标。攻击者如何获得 CDN 或发布权限仍不明。所引研究未分析移动客户端；后续官方手动公告明确称移动端未受影响。涉及广泛使用的启动器及有记录的恶意分发，因此评为 L3；运营方现已确认文件遭第三方篡改，实际执行及受害范围仍未确认。

11 月 4 日原始研究更新： MotherSphere 现称 11:20 UTC 时，两主机的四个已知文件在四个已检查 CDN 节点均已干净，但其核阅的公开扫描在 00:48 UTC 仍取得恶意 FeedList，观察节点在 03:12–03:21 UTC 取得干净副本。这补充了上文时间更早的 WormW 复查，并不矛盾，也不能证明全球清缓存。清理启动器缓存前先保留日志及 Local Storage，包括压缩的 .ldb 文件。较早报告载荷使用额外临时文件名及哈希，未命中最新哈希不能证明安全。初始 CDN／发布权限入侵途径和完整受害范围仍未查明。

可选证据检查工具： 原报告现链接作者发布的 NIKKE Launcher Check，v0.5.1 于 11 月 4 日 13:39 UTC 发布。说明区分脚本暴露、代理感染、未发现痕迹及未找到安装目录。这些是工具判定，不是完整取证结论。清理前保留缓存，分享报告前脱敏；疑似失陷时仍须手动调查、清除持久化或重建，并从干净设备轮换凭据。本文没有运行或独立审计该工具。

11 月 4 日晚间研究修订： Google Play Games PC 版本受影响来自用户报告，安装及进程线索为 C:\NIKKE_GOOGLE、Launcher\nikke_launcher_google.exe 和 %APPDATA%\nikke_launcher_google，不是厂商完整范围确认。前端已重建，但 FeedList 保持原 URL，须先保留证据再清理各变体缓存。研究人员 22:59 UTC 仍观察到两个原恶意域名解析至 89.127.233.127；DNS 解析不证明服务器恢复或仍在执行恶意指令。

某次运行若在 k2f_chan registered 后立即以 startup failed: EIO: invalid UTF-8 in string 结束，且没有 adopted、resuming 或 agent started as 行，研究人员检查认为非 ASCII Windows 用户名可使系统信息编码失败；该次运行可能尚未取得服务端 ID。但当时的 l.js 未被捕获，后续行为不明，代理已下载并执行，仍须按疑似感染处理。v0.5.2 将其单独标为已加载但启动失败。代理虽未内置计划任务、Run 键、服务、WMI 或启动目录持久化代码，任意命令能力仍可部署其他持久化，排查不应只限于已知 CLSID。静态浏览器扫描只提取 Chromium Cookie，Firefox 取 logins.json／key4.db；这不限制任意文件读取能力，也不证明 Cookie 或密码已实际外泄。

11 月 4 日官方后续措施： Level Infinite 现确认 Windows 启动器文件遭篡改，并要求自 9 月 27 日 15:41 UTC+9（06:41 UTC）起启动过的用户排查。厂商称移动版未受影响，替代此前仅能说明研究未覆盖移动端的局限。厂商回溯把恶意程序开始分发写为 10 月 30 日 03:52 UTC+9（10 月 29 日 18:52 UTC），而研究人员收到的日志早至 10 月 23 日；两种说法均保留，不能据较晚日期免除排查。域名劫持和 CDN／网络入口仍属厂商调查中的归因，不能当作已独立核实的完整根因。

厂商称三份脚本于 11 月 3 日 17:04–17:23 UTC 替换，剩余脚本于 11 月 4 日 03:09 UTC 完成 CDN 刷新后逐步分发。其宣布从 11 月 4 日 23:00 UTC 起提供官方客户端 ACE 扫描与清理，需同意删除关联日志、DLL 和注册表项，故先保留证据。本文没有运行该功能，也不能以厂商对残留 DLL 不再执行的说法或未弹窗证明主机完全安全；任意命令能力可能留下其他持久化。手动指引另要求全盘及 Defender 离线扫描、账户密码更新、API 密钥和令牌轮换，并请受影响用户通过客服报损。没有公布确认损失总额或已完成赔付。

厂商还计划加强监控、验证启动器外部资源的完整性，并审查各功能权限。这些是已宣布的预防措施，尚非独立验证完成的控制，也不能证明既有感染已清除。

11 月 5 日研究更新： 重开更新后的启动器前先保留证据，一项干净安装据报未经同意便丢失 debug.log。研究人员 14:39 UTC 修订另称 insightjs.com 自 02:05 UTC 被暂停，09:09 UTC 检查时已不解析。这不撤销此前访问。无关假清理域名属于另一项诱饵，不能据此认定同一操作者。

11 月 6 日收集边界说明： MotherSphere 的作者回复区分了 11 月 3 日 14:56 GMT 上传的一个已分析版本与尚未全部检查的早期版本。该版本的 browserscan 覆盖 %LOCALAPPDATA%\Google\Chrome\User Data、%LOCALAPPDATA%\Microsoft\Edge\User Data、%LOCALAPPDATA%\BraveSoftware\Brave-Browser\User Data、%LOCALAPPDATA%\Vivaldi\User Data 和 %APPDATA%\Opera Software\Opera Stable，还会从 %APPDATA%\Mozilla\Firefox\Profiles 复制 Firefox 的 key4.db 和 logins.json，但不收集 Firefox cookie。Ungoogled Chromium 的 %LOCALAPPDATA%\Chromium\User Data 不在该命令的内置列表中，不代表代理的任意文件读取或执行能力无法访问。

在该版本中，浏览器持有的独占锁可阻止 cookie 数据库复制，却不会同样保护 Chromium 的已保存密码数据库。该命令也会跳过大于 4,194,304 字节的 cookie 文件，或在 collect_cookies 为 false 时跳过。这只是特定命令的限制：关闭浏览器后的另一次运行、任意文件命令、其他版本或未经分析的 Chrome DLL 都可能改变暴露范围。启动器日志和按小时统计的 SRUM 字节数不能说明执行过哪些命令或窃取了什么；少量上传或扫描无异常都不能排除风险。

同一回复称，creds 会读取标准及 HMT 启动器目录中的 last_user.dat 和 psd.dat，选择已保存账户并解密其密码。缺失 psd.dat 会阻止该版本通过这一命令取得密码，但现在没有该文件，不能证明此前也不存在。命令跳过 Google 版本目录，但任意文件读取仍可触及该目录，其文件格式尚未核实。这些说明不能证明每个密码均已被窃取，也不能划定安全的启动器版本。

11 月 6 日作者进一步说明： browserscan 读取 cookie 的站点、名称及加密值，返回附带路径、配置文件和密钥的条目，而非原始 SQLite 文件。l.js 以 base64url 分块读取这些 JSON，默认每块最多 2 MiB；最初操控代理的 l.js 未被捕获，可能存在的传输压缩、加密及 SRUM 字节统计，均不能说明哪些资料已外传。Opera GX 的 %APPDATA%\Opera Software\Opera GX Stable 不在已分析的内置列表中，但任意文件命令仍可读取。浏览器锁只影响当时的 cookie 复制，不能保护后续启动、已保存密码或未经分析的浏览器 DLL。

作者还指出，tinyget.mem.log 及按日期保存的 Launcher/log/tinyget 日志含有 login_ticket、biz_ticket，可通过 cat 或 download 读取；尚未测试其权限及有效期。已分析代理没有手机、路由器专用代码或网络扫描器，但可以读取 Phone Link 存于电脑上的资料，任意执行也可能触及局域网管理入口或操作已连接的手机。这些是可能路径，并非已观察到的传播。向支持核实票据吊销方式，按上文保留及遮盖日志，检查关联设备和已保存的路由器凭据，不要据此声称它们已被入侵。

11 月 7 日作者指引： 已分析的 chrome_install 即使没有 Chrome，也会创建 Chrome 命名目录。持久化键仍生效时，其他基于 Chromium 的应用也可加载 DLL；作者引用一台电脑上 Steam 网页辅助进程及 Alt1 的观察。因此没有 Chrome 不能排除持久化。不要为调查回滚 Windows：系统还原可能恢复注册表键及 DLL，使其再次执行。重建前读取现存变更日志，或仅查看历史版本目录，不要还原或执行其中内容。SRUM 大致按小时统计进程流量，即使出现大流量，也不能确定传出了哪些数据。在代理内拒绝连接及检查实际旧会话列表，是对既有清理、干净设备凭据处置的补充，不能替代它们。