🎯 Contexte

Publié le 4 novembre 2026 sur trojan-killer.net, cet article de Brendan Smith analyse un incident de sécurité affectant le launcher PC du jeu mobile NIKKE, développé par Level Infinite (Tencent). Une correction client a été déployée le 4 novembre 2026 à 02h30 UTC+9 (soit le 3 novembre à 17h30 UTC).

🔍 Nature de la compromission

Selon le rapport technique de MotherSphere, des scripts modifiés ont été déposés sur les serveurs de distribution de Level Infinite, entraînant la livraison d’un agent d’accès distant lors de certains lancements du client PC. Le premier démarrage d’agent rapporté remonte au 23 octobre 2026. L’article précise que la compromission concerne uniquement le launcher Windows ; le jeu Android et les autres jeux Tencent ne sont pas établis comme infectés.

🧩 Indicateurs techniques identifiés

  • Fichier log : Launcher\intl_service\debug.log — chaîne suspecte : k2f_chan registered
  • Domaine loader : insightjs[.]com référencé dans les données de cache du launcher
  • Clé de registre : HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}
  • Fichier malveillant : platform_experience_helper.dll dans un sous-dossier hexadécimal à 64 caractères de %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper
  • Chemins à préserver : Launcher\log\tinyget, %APPDATA%\nikke_launcher\tbs_cache

⚠️ Limites de l’investigation

L’article distingue explicitement exposition (chargement du script injecté) et exécution (lancement de l’agent distant). L’absence d’indicateurs dans les logs ne constitue pas une preuve d’absence de compromission. Un scan négatif ne remplace pas l’investigation des indicateurs positifs.

📰 Type et objectif

Cet article est un rapport d’incident à visée pratique, destiné aux joueurs ayant lancé le client NIKKE PC durant la période concernée. Il fournit une méthodologie de triage forensique et de vérification de persistance Windows, sans attribuer l’attaque à un acteur nommé.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Persistence)
  • T1112 — Modify Registry (Defense Evasion)
  • T1071 — Application Layer Protocol (Command and Control)

IOC

  • Domaines : insightjs.com — VT · URLhaus · ThreatFox
  • Fichiers : platform_experience_helper.dll
  • Chemins : %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\<64-char-hex>\platform_experience_helper.dll
  • Chemins : Launcher\intl_service\debug.log
  • Chemins : Launcher\log\tinyget
  • Chemins : %APPDATA%\nikke_launcher\tbs_cache

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Remote Access Agent (NIKKE launcher) (rat)

🟡 Indice de vérification factuelle : 58/100 (moyenne)

  • ⬜ trojan-killer.net — source non référencée (0pts)
  • ✅ 7429 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/1 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • insightjs.com (domain) → VT (11/92 détections)

🔗 Source originale : https://trojan-killer.net/nikke-launcher-malware-windows-checks/