NIKKE investiga un ataque a su lanzador de PC con riesgo de robo de datos

La investigación de MotherSphere recoge un aviso del equipo de NIKKE sobre posibles manipulaciones de scripts y correcciones alrededor de las 02:30 del 4 de noviembre, en UTC+9. Esa comunicación inicial no constituye un balance definitivo de afectados. Los avisos oficiales posteriores deben consultarse en los canales del juego; aquí se distinguen de las conclusiones de los investigadores independientes.

La confianza en una descarga oficial también puede fallar

MotherSphere documenta un ataque a la cadena de distribución: archivos que el lanzador recibía de la CDN oficial contenían código capaz de cargar componentes ajenos. Su informe sitúa la alteración de cuatro archivos JavaScript el 27 de septiembre. Esa fecha no demuestra que todos los usuarios se infectaran entonces ni establece por sí sola el inicio de todas las ejecuciones maliciosas.

El análisis de muestras publicado por WormW describe una herramienta de acceso remoto, identificada como K2F, con capacidad para ejecutar órdenes, capturar pantallas y recoger archivos y credenciales. También documenta funciones relacionadas con navegadores y monederos de criptomonedas. Son capacidades identificadas en las muestras; no prueban que se hayan usado todas contra cada jugador ni permiten calcular pérdidas económicas.

Los archivos corregidos y un equipo limpio son comprobaciones distintas

Las actualizaciones de MotherSphere y WormW recogen archivos limpios en los nodos de distribución comprobados el 4 de noviembre. Ese resultado está limitado a lo examinado: no equivale a auditar toda la red ni a limpiar equipos que hubieran ejecutado antes el malware.

El primer informe propone buscar la cadena k2f_chan en Launcher/intl_service/debug.log como indicio de ejecución del agente. Su presencia justifica investigar el equipo; su ausencia no certifica que esté limpio. Borrar registros antes de revisar lo ocurrido puede eliminar información útil.

Qué deberían revisar los jugadores

Quien haya utilizado el lanzador durante el periodo investigado debería consultar las instrucciones oficiales vigentes y comprobar su equipo con las herramientas de seguridad actualizadas. Ante indicios de infección, conviene aislar el dispositivo y obtener ayuda para valorar la recuperación y las credenciales expuestas. El análisis de WormW recomienda tratar un equipo infectado como comprometido, no limitar la respuesta a reinstalar el juego.

Los cambios de contraseña deben hacerse desde un dispositivo fiable o después de resolver la infección. La guía de Microsoft para recuperar una cuenta comprometida insiste en eliminar el malware antes de cambiar la contraseña en ese equipo.

Si la evaluación del caso requiere reinstalar Windows, Microsoft permite crear medios oficiales de instalación en una memoria USB vacía. Es una medida de recuperación del sistema, no un requisito para todos los jugadores. Siguen sin quedar establecidos en las fuentes revisadas el número total de víctimas ni el alcance completo del robo de datos.