《勝利女神：妮姬》PC 啟動器遭供應鏈攻擊：官方 CDN 腳本被竄改，開啟動器就可能被裝遠端木馬，密碼、SSH 金鑰、加密錢包都是目標

手機遊戲《勝利女神：妮姬》（Goddess of Victory: NIKKE）的 PC 版啟動器出事了。啟動器開啟時會從營運商 Level Infinite（騰訊旗下）的官方 CDN 載入幾個 JavaScript 檔，這些檔案被第三方竄改，導致部分玩家的電腦被裝上遠端控制木馬。官方已在 11 月 4 日發公告承認「PC Launcher 腳本檔案可能被第三方竄改」，並完成修復，但影響範圍仍在調查。以下時間均為台灣時間（UTC+8）。

事件經過

時間（台灣）	事件
9 月 27 日下午	Level Infinite CDN 上 4 個官方 JS 檔被加入惡意載入程式碼（研究者依檔案修改時間判斷；韓國聯合新聞社、4Gamers 亦引述）
最晚 10 月 24 日	開啟 PC 啟動器開始可能被下載並執行遠端控制程式（研究者報告、聯合新聞社、巴哈姆特整理）
11 月 3 日	中國 NGA 論壇玩家先拼湊出線索，獨立研究者在 GitHub 發布技術報告；台灣巴哈姆特、PTT 跟進轉載自我檢查方法
11 月 4 日凌晨 1:04～1:21	其中 3 個被竄改的檔案被替換成乾淨版本（研究者觀察）
11 月 4 日約 1:30	官方表示完成客戶端修復與更新（日版官方 X 寫 02:30 日本時間，即台灣 01:30）
11 月 4 日上午	官方發布「PC Launcher 異常情況說明」，表示正在確認影響範圍，後續另行公告處理方式

重點

不是啟動器程式本身被改，而是它載入的官方 CDN 檔案被改。研究者列出的 4 個檔案為 aegis-fix.min.js、vue-bucket.min.js、images.7fec4c32.js、FeedList.feb647c9.js，檔名不變、內容被加料，屬於典型的供應鏈攻擊。攻擊者如何取得 CDN 寫入權限，目前仍不清楚。
中招後的影響：依研究者分析與 Inven Global、聯合新聞社報導，木馬可讓攻擊者在啟動器開著時執行任意指令、瀏覽與下載檔案、截圖，並竊取瀏覽器儲存的密碼、SSH 金鑰、開發者與雲端 API 金鑰／Token，以及 28 種瀏覽器加密貨幣錢包擴充功能的資料。
不是每次開啟都會中。研究者指出攻擊者伺服器只在部分啟動時派送木馬，例如一台電腦開了約 19 次、中了 3 次，所以同樣有開啟動器，有人中、有人沒中。
Windows 上會常駐。研究者與 Inven Global 都提到，木馬會在使用者登錄檔註冊一個讓 Chrome 載入的 DLL，關掉啟動器後仍可能繼續執行。
用 Linux／Steam Deck（Proton）玩也會受影響（研究者報告、Inven Global）。
目前報告只涉及 PC 啟動器。手機版不使用該啟動器，目前沒有受害回報，但官方尚未正式說明手機版是否安全。
官方修好不等於電腦變乾淨。修復只能防止之後再被感染，之前已中招的電腦必須自行清除。
Level Infinite 回應韓國聯合新聞社查詢時表示「內部確認中」，官方公告也尚未說明受影響期間、版本及攻擊者入侵方式。

對你的實務建議

一般用戶（玩家）

官方發出完整處理公告前，先不要開 PC 版啟動器，需要玩可以先用手機版。
先自我檢查：打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋 k2f_chan。看到 k2f_chan registered 就代表木馬曾經執行，視為中招。不確定安裝位置，可在桌面 NIKKE 圖示按右鍵選「開啟檔案位置」。
如果中了：先關掉啟動器或拔網路；最保險是重灌 Windows。研究者提醒，有人回報 Microsoft Defender 離線掃描沒有抓到這個 DLL，不能只靠防毒軟體。
用另一台乾淨的裝置（例如手機）改密碼：先改 NIKKE／Level Infinite，再改 Email、Discord、網銀、Steam 及所有存在瀏覽器裡的密碼，並開啟兩步驟驗證。
登出所有已登入的工作階段（Google、Discord、Steam 等），因為被偷的瀏覽器 Cookie 不需要密碼也能登入。
有加密貨幣錢包的人，盡快用新的助記詞建立新錢包，把資產轉過去。
沒中的人，重新開啟動器前建議先關閉啟動器並刪除快取資料夾 %APPDATA%\nikke_launcher\tbs_cache（港澳台版資料夾為 nikke_launcher_hmt），避免載入快取中的舊檔案；這只會刪網頁快取，不會刪遊戲與帳號資料。9/27 之後開過 PC 啟動器的人，也建議改一下 NIKKE 與重要帳號的密碼。

企業／IT 管理者

盤點員工與工程師電腦是否安裝 NIKKE PC 版。這支木馬特別鎖定開發者憑證：SSH 金鑰、Git／GitHub、AWS、Azure、Google Cloud、Docker、Kubernetes 設定，以及 AI 開發工具的憑證檔。工作機或 BYOD 裝置若有安裝，應視為憑證外洩事件處理。
在 DNS／防火牆封鎖研究者公布的指標：insightjs.com、analytics.insightjs.com、insightjs.org、89.127.233.127、89.126.250.172，並回查 9 月底以來的 DNS 紀錄。注意研究者提醒：若電腦同時使用第二組 DNS（例如 IPv6），單一 DNS 日誌可能漏記。
端點檢查：查 HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} 是否存在（HKLM 下同一 CLSID 是 Windows 原生的 wpc.dll，不要誤刪），以及 %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 底下是否有名稱為 64 碼十六進位、內含 platform_experience_helper.dll 的子資料夾。
確認中招後，撤銷並重新產生相關憑證（API Token、SSH 金鑰、雲端存取金鑰），強制登出 SSO／雲端主控台工作階段，並檢查這段期間的雲端存取紀錄有無異常登入。
檢視自家供應鏈風險：這次入口是「官方 CDN 上的靜態檔被改」。自家網站或應用程式若從 CDN 或第三方載入 JS，建議檢查儲存桶寫入權限、啟用 Subresource Integrity（SRI）或檔案雜湊比對，並在更新後對所有 CDN 節點清除快取——研究者觀察到，其中一個檔案在源站修好後，仍有部分 CDN 節點持續派送被竄改的版本。

仍待確認

港澳台版（nikke_launcher_hmt）是否同樣受影響：社群檢查指令與研究者列出的竊取路徑都包含港澳台版資料夾，但官方尚未說明受影響版本（未核實）。
攻擊者伺服器在 11 月 4 日凌晨 2:31 後停止回應、部分 CDN 節點到 11 月 4 日清晨仍派送被竄改檔案：目前只有研究者報告（及引用它的論壇整理），未核實。
受影響玩家人數、是否有帳號或資產實際被盜：官方尚未公布。

recent posts

about

發表留言取消回覆