Le lanceur du jeu NIKKE détourné dans une attaque de la chaîne d'approvisionnement visant les joueurs

Le 4 novembre 2026, l'éditeur de Goddess of Victory: NIKKE — le jeu de tir et de rôle de science-fiction développé par le studio sud-coréen Shift Up et publié dans le monde entier par Level Infinite — a confirmé que le lanceur Windows du jeu avait été altéré lors d'une attaque de la chaîne d'approvisionnement qui a diffusé un logiciel malveillant aux joueurs. Le jeu a enregistré plus de 45 millions de téléchargements depuis sa sortie en 2022, et la compromission a transformé un canal de mise à jour de confiance en un circuit de diffusion de malware pour quiconque ouvrait le lanceur.

Comment la compromission a fonctionné

Selon le chercheur indépendant MotherSphere, quatre fichiers JavaScript hébergés sur le propre réseau de diffusion de contenu de Level Infinite ont été modifiés le 27 septembre 2026 de sorte que le lanceur téléchargeait des charges supplémentaires à chaque exécution. Le code injecté utilisait de l'obfuscation pour dissimuler deux domaines contrôlés par les attaquants, et le chargeur était conçu pour se rabattre sur le second domaine si le premier était injoignable — une astuce de résilience qui maintenait la chaîne de diffusion opérationnelle même après un nettoyage partiel. Comme les fichiers malveillants étaient servis depuis l'infrastructure légitime de l'éditeur, les joueurs n'avaient aucun signe visible d'anomalie.

La charge utile

Le chargeur récupérait un paquet LuaJIT qui installait un agent d'accès à distance suivi sous le nom de K2F, capable d'exécuter des commandes, de parcourir et d'exfiltrer des fichiers, de réaliser des captures d'écran et de voler à la fois les identifiants de compte NIKKE et les données des navigateurs. Une commande ultérieure pouvait installer une DLL Windows conçue pour persister après la fermeture du lanceur, et les chercheurs ont trouvé dans un échantillon de DLL du code ciblant des extensions de portefeuilles de cryptomonnaies pour navigateur, dont MetaMask et Phantom. Il n'a pas été établi si cette capacité de ciblage des portefeuilles avait réellement été déployée, ni si des cryptomonnaies avaient été dérobées.

Réponse

La compromission a été mise au jour par le rapport public de MotherSphere, après quoi Level Infinite a reconnu sur les réseaux sociaux que les scripts du lanceur « ont pu être altérés par un tiers » et a publié une mise à jour du client tôt le 4 novembre 2026. Le chercheur a noté que trois des quatre fichiers concernés avaient été restaurés dans des versions saines le 3 novembre, mais qu'une copie altérée du quatrième était toujours servie après le déploiement de la mise à jour, laissant l'incident non résolu au moment de la publication. Aucun acteur malveillant n'a été nommé. Level Infinite a indiqué enquêter sur l'ampleur de l'incident et annoncer des mesures de suivi, tandis que des chercheurs en sécurité conseillaient aux joueurs concernés de lancer une analyse antivirus complète, de changer leurs identifiants depuis un appareil sain et — en cas d'infection confirmée — de réinstaller Windows, compte tenu de la persistance de l'agent d'accès à distance.