NIKKE'nin PC başlatıcısının dosyaları değiştirildi, oyunculara zararlı bulaşmış olabilir

Güney Koreli Shift Up’ın geliştirdiği ve Level Infinite’in yayımladığı Goddess of Victory: NIKKE oyununun ekibi, 4 Kasım’da X’te yaptığı açıklamada oyunun PC başlatıcısındaki betik dosyalarının üçüncü bir tarafça değiştirilmiş olabileceğini duyurdu. Ekip, düzeltmeleri ve güncellemeyi Kore saatiyle 4 Kasım 02.30’da (Türkiye saatiyle 3 Kasım 20.30) yayımladığını belirtti. BleepingComputer’a göre Level Infinite oyunun 2022’deki çıkışından bu yana 45 milyondan fazla indirildiğini açıklamıştı.

Şirketin açıklaması

Level Infinite, 5 Kasım’da yayımladığı ikinci açıklamada, Windows PC başlatıcısındaki bazı dosyaların yakın zamanda üçüncü bir tarafça değiştirildiğini ve bunun başlatıcı açıldığında zararlı programların çalışmasına yol açmış olabileceğini doğruladı. Şirkete göre oyuncuların bilgisayarları ve hesap bilgileri güvenlik risklerine açık kalmış olabilir. Level Infinite olası zararın boyutunu incelediğini ve dosyaların nasıl değiştirildiğini belirlemek için içerik dağıtım ağı (CDN) dahil ağ güvenliği ortamını gözden geçirdiğini açıkladı. Şirket, etkilendiğini ya da bir kayba uğradığını düşünen oyuncuların müşteri destek ekibine başvurmasını istedi.

Ekibin aynı gün yayımladığı yönergeye göre Kore saatiyle 27 Eylül 15.41’den (Türkiye saatiyle 09.41) bu yana Windows PC başlatıcısını en az bir kez açan oyuncuların güvenlik kontrolü yapması gerekiyor. Kontrol, resmî PC istemcisindeki ACE adlı güvenlik özelliğiyle ya da oyunun sitesindeki adımlarla yapılabiliyor. Ekibe göre olay yalnızca PC başlatıcısını etkiledi, oyunun yalnızca mobil sürümünü oynayanların ek bir önlem almasına gerek yok.

Araştırmacının bulguları

BleepingComputer’a göre bağımsız güvenlik araştırmacısı MotherSphere’in GitHub’da yayımladığı rapora göre Level Infinite’in resmî CDN’inde barındırılan dört JavaScript dosyası 27 Eylül’de değiştirildi. Dosyalara eklenen gizlenmiş kod, başlatıcı her açıldığında saldırganların denetimindeki alan adlarından ek kod indiriyordu. Araştırmacıya göre bu kod, başlatıcının kendi işlevlerini kullanarak insight.bundle adlı bir LuaJIT yükü çalıştırıyor ve K2F adı verilen bir uzaktan erişim aracı kuruyordu. Araç komut çalıştırmaya, dosyalara göz atıp indirmeye, ekran görüntüsü almaya, NIKKE hesap bilgilerini ve tarayıcılarda saklanan bilgileri toplamaya izin veriyordu.

Araştırmacıya göre araç, başlatıcı kapatıldıktan sonra da çalışmaya devam edebilen platform_experience_helper.dll adlı bir Windows bileşeni de kurabiliyordu. BleepingComputer, VirusTotal’e yüklenen bir örneği inceleyerek bu bileşende MetaMask, Phantom ve Coinbase Wallet gibi tarayıcı eklentisi cüzdanlarından kurtarma ifadelerini ve özel anahtarları çalmaya yönelik kod bulduğunu yazdı. BleepingComputer’a göre bu bileşenin kurbanların bilgisayarlarına kurulup kurulmadığı ve oyuncuların kripto paralarının çalınıp çalınmadığı bilinmiyor.

Araştırmacıya göre Level Infinite değiştirilen dosyalardan üçünü 3 Kasım’da temiz sürümleriyle değiştirdi, dördüncüsünün değiştirilmiş bir kopyası ise bir süre daha sunulmaya devam etti. Araştırmacı, oyunun kurulu olduğu klasördeki Launcher/intl_service/debug.log dosyasında k2f_chan ifadesinin bulunmasının zararlı Lua aracının çalıştığını gösterdiğini, ancak DLL bileşeninin yüklendiğini kanıtlamadığını belirtiyor.