In einer auf X veröffentlichten Mitteilung erklärte der Betreiber: „Wir haben ein Problem festgestellt, das darauf hindeutet, dass die Skriptdateien des PC-Launchers von einem Dritten manipuliert worden sein könnten." Weiter heißt es: „Dementsprechend wurden am 4. November gegen 02:30 Uhr (UTC+9) Client-Korrekturen und ein Update umgesetzt. Wir untersuchen derzeit den Umfang der Auswirkungen und werden weitere Einzelheiten zu Folgemaßnahmen in einer gesonderten Mitteilung bekanntgeben."
Level Infinite nannte kaum technische Details. Ein auf GitHub veröffentlichter Bericht des unabhängigen Sicherheitsforschers MotherSphere führt den Vorfall auf vier JavaScript-Dateien zurück, die über das offizielle Content Delivery Network von Level Infinite ausgeliefert wurden. Nach Darstellung des Forschers wurden die Dateien am 27. September 2026 verändert, um schädliches JavaScript einzuschleusen, das bei jedem Start des Launchers weiteren Code von Servern der Angreifer nachlud.
Der eingefügte Code war in legitimen JavaScript-Dateien versteckt und verschleierte die Domains insightjs[.]com und insightjs[.]org, von denen der Schadcode bezogen wurde. Eine Untersuchung zweier manipulierter JavaScript-Dateien bestätigte einen obfuskierten Loader, der Code von diesen Domains abruft und ausführt und auf die zweite Domain ausweicht, wenn die erste nicht erreichbar ist.
Laut der Analyse von MotherSphere missbrauchte der nachgeladene Code native Funktionen des Launchers, um eine schädliche LuaJIT-Komponente namens insight.bundle zu laden und auszuführen. Diese installierte einen Fernzugriffs-Agenten, der als K2F bezeichnet wird. Die Backdoor erlaubte Angreifern:
- das Ausführen beliebiger Befehle aus der Ferne
- das Durchsuchen und Herunterladen lokaler Dateien
- das Anfertigen von Bildschirmfotos
- das Abgreifen von NIKKE-Kontozugangsdaten
- das Auslesen von in Webbrowsern gespeicherten Informationen
Zusätzlich unterstützte die Schadsoftware einen Befehl zur Installation einer bösartigen Windows-DLL mit dem Namen platform_experience_helper.dll, die auch nach dem Schließen des Launchers aktiv bleiben konnte. Aus den Zeichenketten eines auf VirusTotal hochgeladenen DLL-Exemplars geht hervor, dass die Schadsoftware Daten von Kryptowährungs-Wallets aus Browser-Erweiterungen abgreifen kann, darunter MetaMask, Phantom und Coinbase Wallet. Die DLL enthielt Funktionen, um sensible Wallet-Informationen einschließlich Wiederherstellungsphrasen und privater Schlüssel abzufangen, was den Diebstahl von Kryptowährungen ermöglichen würde. Ob die Angreifer diese Zusatzkomponente tatsächlich auf infizierten Systemen ausrollten oder damit erfolgreich Kryptowährungen entwendeten, ist nicht bekannt.
Der Forscher gibt an, Level Infinite habe drei der betroffenen JavaScript-Dateien am 3. November durch saubere Versionen ersetzt. Eine manipulierte Kopie der vierten Datei sei jedoch um 22:26 Uhr GMT weiterhin an Nutzer ausgeliefert worden. Damit wäre mindestens ein kompromittiertes Skript auch nach dem Client-Update noch erreichbar gewesen.
MotherSphere veröffentlichte zudem Kompromittierungsindikatoren, mit denen Nutzer prüfen können, ob der schädliche Lua-Agent auf ihrem Rechner ausgeführt wurde. Ein Hinweis ist die Zeichenkette k2f_chan in der Datei Launcher/intl_service/debug.log im NIKKE-Installationsverzeichnis. Dieser Eintrag belegt die Ausführung des Lua-Agenten, sagt aber nichts darüber aus, ob auch die DLL geladen wurde.
Die Ausweichdomain insightjs[.]org liefert inzwischen Code aus, der im Launcher eine Sicherheitswarnung einblendet. Der Hinweis erscheint auf Englisch, Chinesisch, Japanisch und Koreanisch und fordert Spieler auf, den Launcher sofort zu schließen und den PC-Client nicht mehr zu öffnen, bis der Publisher die Behebung des Problems bestätigt. In der Meldung wird ausdrücklich darauf hingewiesen, dass es sich nicht um eine offizielle Ankündigung des Publishers handelt; unklar bleibt, wer die Domain derzeit kontrolliert und wann der schädliche Payload durch die Warnung ersetzt wurde.
Level Infinite wurde um eine Stellungnahme zu den Erkenntnissen von MotherSphere gebeten, äußerte sich bis zur Veröffentlichung jedoch nicht.
Potenziell betroffene Spieler sollten einen vollständigen Systemscan mit aktueller Antivirensoftware durchführen. Wer eine Kompromittierung feststellt, sollte Windows neu installieren sowie Passwörter und andere sensible Zugangsdaten von einem sauberen Gerät aus ändern.