Per due settimane, chiunque abbia avviato il launcher ufficiale di Goddess of Victory: NIKKE su PC ha scaricato, insieme al gioco, uno strumento di accesso remoto capace di rubare password, cookie di sessione, chiavi SSH, credenziali cloud e dati di 28 tipi diversi di portafogli di criptovalute. Non un trojan nascosto in un crack o in una mod pirata: il codice malevolo viveva dentro file JavaScript distribuiti dalla CDN ufficiale dell’editore Level Infinite, ed è rimasto operativo per oltre una settimana prima che qualcuno se ne accorgesse.

Un attacco alla supply chain, non al gioco

NIKKE è un gioco mobile free-to-play con oltre 45 milioni di download, pubblicato dal publisher Level Infinite e sviluppato dal coreano Shift Up. Da tempo esiste anche una versione per PC, distribuita tramite un launcher proprietario che carica diverse risorse direttamente dalla CDN del publisher a ogni avvio. È esattamente questo meccanismo di aggiornamento continuo, pensato per semplificare la manutenzione del client, a essere stato trasformato in un vettore d’attacco: gli aggressori non hanno dovuto bucare le difese del gioco, ma solo ottenere la possibilità di modificare quattro file JavaScript ospitati sui server di distribuzione. Da quel momento, ogni utente che apriva il launcher eseguiva automaticamente il codice iniettato, senza alcuna interazione aggiuntiva.

È la stessa dinamica vista in decine di attacchi alla supply chain del software degli ultimi anni, da SolarWinds ai package compromessi su npm e PyPI: non serve convincere la vittima a fare nulla di sbagliato, basta corrompere una fonte in cui la vittima ha già fiducia.

Cosa poteva fare il malware

A scoprire l’anomalia è stato il ricercatore indipendente che opera sotto lo pseudonimo MotherSphere, che il 3 novembre ha pubblicato su GitHub un’analisi tecnica del codice iniettato nei quattro file. Secondo il report, una volta eseguito all’avvio del launcher Windows, l’agente malevolo era in grado di:

• eseguire comandi di sistema e lanciare programmi arbitrari da remoto;
• navigare nel filesystem e scaricare o esfiltrare file;
• catturare screenshot dello schermo della vittima;
• recuperare le credenziali salvate per l’account NIKKE;
• estrarre password e cookie memorizzati nei browser;
• cercare specificamente chiavi SSH, token API e credenziali cloud riconducibili a sviluppatori software;
• raccogliere dati da almeno 28 estensioni di wallet per criptovalute installate nel browser.

Il dettaglio più rilevante è la scelta dei bersagli: non un furto generalista di tutte le password di Windows, ma una caccia mirata a credenziali di sviluppo e ad asset finanziari in criptovaluta, un pattern tipico di campagne orientate al profitto diretto piuttosto che al semplice “stealer” da mercato nero. Su Windows, inoltre, il codice poteva registrarsi nel browser Chrome e continuare a essere eseguito anche dopo la chiusura del launcher, garantendo una forma di persistenza. Il report segnala come potenzialmente esposti anche gli utenti Linux e Steam Deck che eseguono il client tramite Proton.

Una timeline con troppi giorni di buio

Ricostruire la cronologia esatta è complicato dal fatto che le date fornite da Level Infinite e quelle individuate da MotherSphere non coincidono del tutto, segno che l’editore stesso non ha ancora piena visibilità su quando sia iniziata la compromissione:

• 27 settembre: secondo l’analisi del codice, è la data in cui vengono iniettati nei quattro file JavaScript i comandi che caricano il payload esterno.
• 23-24 ottobre: MotherSphere trova prove che l’agente di controllo remoto fosse già attivo e operativo da questa finestra temporale.
• 28 ottobre: uno dei quattro file viene nuovamente modificato sul server di origine.
• 29 ottobre: Level Infinite distribuisce l’aggiornamento globale per il quarto anniversario del gioco, un momento di traffico elevato che ha probabilmente amplificato l’esposizione.
• 30 ottobre: data indicata ufficialmente da Level Infinite come inizio della distribuzione del codice malevolo — una settimana dopo rispetto a quanto osservato da MotherSphere.
• 3 novembre: pubblicazione del report tecnico su GitHub.
• 4 novembre, 02:04–02:21 (ora coreana): tre dei quattro file compromessi vengono sostituiti con versioni pulite.
• 4 novembre, 07:26 (ora coreana): MotherSphere verifica che due server di distribuzione regionali stanno ancora erogando il file manomesso rimasto, segno di una bonifica incompleta al primo tentativo.

Level Infinite ha confermato l’incidente solo dopo la pubblicazione pubblica della ricerca, ha rimosso i file compromessi dalla CDN, ha introdotto un controllo anti-malware nel client PC ufficiale e ha invitato i giocatori coinvolti a contattare il supporto. L’azienda ha precisato che gli utenti mobile non sono interessati, poiché il codice malevolo era limitato ai file caricati dal launcher desktop. Nessuna delle due società, Level Infinite o Shift Up, aveva diffuso una dichiarazione ufficiale dettagliata al momento della scoperta.

Cosa resta aperto

Il punto più critico, e ancora privo di risposta pubblica, è come gli attaccanti abbiano ottenuto i permessi per modificare file sui server CDN di un publisher internazionale. Che si tratti di credenziali di build compromesse, di un accesso diretto alla pipeline di deployment o di un fornitore terzo coinvolto nella distribuzione, la sostituzione silenziosa di asset “fidati” resta la tecnica più difficile da individuare per gli utenti finali: il file arriva dal dominio giusto, con la firma del publisher giusto, e nessun antivirus tradizionale ha motivo di sospettarlo finché qualcuno non ne analizza il contenuto riga per riga.

Per chi ha usato il launcher PC di NIKKE tra fine settembre e il 4 novembre, le indicazioni pratiche sono quelle standard dopo un’esposizione a infostealer: rigenerare le credenziali di eventuali wallet crypto collegati al browser, ruotare chiavi SSH e token API usati per lo sviluppo, forzare il logout e il cambio password sugli account sensibili, e verificare la presenza di estensioni o processi non riconosciuti avviati insieme a Chrome.

Indicatori e riferimenti

# Riferimenti pubblici
Analisi tecnica (gist GitHub): github.com/MotherSphere/d6c049a09ba8ac3085c51ee9df24a4e5
Istruzioni di rimozione (NIKKE): nikke-en.com, content_id=ecdccd40a55a5a46aaa9abda64d436082db7
Wiki non ufficiale con guida: wiki3.jp/nikke/page/9238

# Finestra di esposizione (client PC Windows)
Dal 27 settembre 2026 al 4 novembre 2026 (bonifica completa dopo le 07:26 KST)

# Vettore
4 file JavaScript caricati dalla CDN ufficiale di Level Infinite,
eseguiti automaticamente all'avvio del launcher PC

# Dati target
Credenziali browser, cookie di sessione, chiavi SSH, credenziali/token
cloud, dati di 28 tipi di estensioni wallet crypto, account NIKKE