🎯 Contexte

Source : BleepingComputer, publié le 4 novembre 2026. L’éditeur Level Infinite a confirmé une attaque de supply chain ciblant le launcher PC du jeu Goddess of Victory: NIKKE, un RPG sci-fi développé par la société sud-coréenne Shift Up, comptant plus de 45 millions de téléchargements depuis 2022.

🔍 Déroulement de l’attaque

Selon l’analyse du chercheur indépendant MotherSphere (publiée sur GitHub), quatre fichiers JavaScript hébergés sur le CDN officiel de Level Infinite ont été modifiés le 27 septembre 2026. Ces fichiers contenaient du code malveillant obfusqué qui téléchargeait des charges utiles supplémentaires depuis des serveurs contrôlés par les attaquants :

  • Domaines C2 utilisés : insightjs[.]com et insightjs[.]org (domaine de secours)
  • Le code injecté exploitait les fonctionnalités natives du launcher pour récupérer et exécuter un payload LuaJIT nommé insight.bundle
  • Ce payload installait un agent d’accès distant nommé K2F

💥 Capacités du malware

Le backdoor K2F permettait aux attaquants de :

  • Exécuter des commandes à distance
  • Parcourir et télécharger des fichiers locaux
  • Capturer des captures d’écran
  • Collecter les identifiants du compte NIKKE
  • Voler des données stockées dans les navigateurs web

Un composant additionnel pouvait être installé : une DLL Windows malveillante nommée platform_experience_helper.dll, persistant après la fermeture du launcher. Cette DLL contenait des fonctionnalités de vol de données de portefeuilles de cryptomonnaies (phrases de récupération, clés privées) depuis des extensions de navigateur : MetaMask, Phantom, Coinbase Wallet, et d’autres.

📅 Chronologie

  • 27 septembre 2026 : Modification des fichiers JavaScript sur le CDN
  • 3 novembre 2026 : Level Infinite remplace trois des quatre fichiers compromis par des versions propres
  • 4 novembre 2026, 02:30 (UTC+9) : Publication d’une mise à jour client officielle
  • 22:26 GMT le 4 novembre : Un quatrième fichier compromis était encore servi aux utilisateurs selon MotherSphere

🔎 Indicateur de compromission clé

La présence de la chaîne k2f_chan dans le fichier Launcher/intl_service/debug.log du répertoire d’installation NIKKE indique l’exécution de l’agent Lua malveillant.

📰 Nature de l’article

Article de presse spécialisée rapportant un incident de supply chain actif, combinant des déclarations officielles de l’éditeur et une analyse technique indépendante, avec publication d’IOCs.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1219 — Remote Access Software (Command and Control)
  • T1113 — Screen Capture (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1005 — Data from Local System (Collection)
  • T1129 — Shared Modules (Execution)
  • T1547 — Boot or Logon Autostart Execution (Persistence)

IOC

  • Domaines : insightjs.com — VT · URLhaus · ThreatFox
  • Domaines : insightjs.org — VT · URLhaus · ThreatFox
  • SHA256 : 4bfaf98a6b863fa79554d9eeeb18870c3f92d552d62f4bd35a72d19ea68526af — VT · MalwareBazaar
  • Fichiers : platform_experience_helper.dll
  • Fichiers : insight.bundle
  • Chemins : Launcher/intl_service/debug.log

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • K2F (rat)
  • insight.bundle (loader)
  • platform_experience_helper.dll (stealer)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 13524 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 6 IOCs dont des hashes (15pts)
  • ✅ 3/3 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 4bfaf98a6b863fa7… (sha256) → VT (28/76 détections)
  • insightjs.com (domain) → VT (11/92 détections)
  • insightjs.org (domain) → VT (8/92 détections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/nikke-pc-game-launcher-hacked-to-spread-remote-access-data-stealing-malware/