Изменённые скрипты CDN загрузчика NIKKE загружали код злоумышленников
Изображение: OpenAI
С 27 сентября по 4 ноября 2026 года злоумышленники изменили четыре JavaScript-файла на CDN Tencent COS компании Level Infinite, чтобы загружать через лаунчер ПК-версии NIKKE код под своим управлением. Некоторые серверы CDN продолжали отдавать изменённые файлы до 4 ноября. Кэш лаунчера может сохранять и повторно загружать эти скрипты.
Работа агента и сбор данных
Активность агента фиксировалась с 23 октября. Он взаимодействовал через встроенный в лаунчер браузер по каналу k2f_chan. Полезная нагрузка в формате байт-кода LuaJIT 2.0 загружалась с домена analytics.insightjs.com и не содержала сетевого кода.
Агент принимал команды от сервера. Они позволяли читать и записывать файлы, загружать данные, выполнять команды и создавать скриншоты, а также собирать учётные данные браузера и другую конфиденциальную информацию. Среди задокументированных целей были:
- хранилища паролей браузеров;
- учётные данные SSH и облачных сервисов;
- токены инструментов разработчика;
- файлы проектов и история командной строки;
- расширения для криптографических кошельков.
Сохранённая конфигурация позволяла отключить сбор файлов cookie. При этом злоумышленник мог получить к ним доступ с помощью других команд.
Закрепление в Windows и работа в Linux
В Windows агент мог установить DLL, загружаемую Chrome, в каталог %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\<64-hex-folder>\platform_experience_helper.dll. Для закрепления он использовал значение InprocServer32 для CLSID {E77CC89B-7401-4C04-8CED-149DB35ADD04} в HKCU. Запускающая программа может работать с повышенными привилегиями, что расширяет доступ агента.
На Linux-системах, где запускающая программа работает через Proton, механизмы закрепления, специфичные для Windows, не применяются. При этом агент мог получить доступ к файлам и переменным окружения, доступным пользователю Linux.
Артефакты и рекомендации для расследования
Полезными артефактами для расследования служат запись k2f_chan registered в файле Launcher intl_service debug.log, записи о полезной нагрузке в каталоге Launcher/log/tinyget и состояние агента в локальном хранилище LevelDB лаунчера. Полезная нагрузка может удаляться после выполнения. Отсутствие журналов, временных файлов или записей DNS не исключает заражения.
По имеющимся данным, с 4 ноября официальный клиент проверяет наличие вредоносного ПО и может удалять связанные артефакты. В одном из отчётов также описано удаление файла debug.log без запроса подтверждения. Авторы отчёта рекомендуют сохранять соответствующие журналы и кэш, а перед повторным запуском лаунчера собирать отчёт о проверке.
Известная инфраструктура включает домены insightjs.com, analytics.insightjs.com и insightjs.org, а также IP-адреса 89.127.233.127 и 89.126.250.172. Способ доступа злоумышленников к CDN остаётся неизвестным.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Об этом также писали: lilting.ch, aviatrix.ai.
