Spouštěč hry NIKKE pro Windows mohl hráčům nainstalovat program pro vzdálené ovládání

Kdo letos na podzim hrál Goddess of Victory: NIKKE na počítači s Windows, má si ho zkontrolovat. Oficiální spouštěč hry (launcher) při některých spuštěních stáhl a pustil program, kterým útočník mohl počítač ovládat na dálku, číst soubory a brát uložená hesla. Vydavatel Level Infinite, který patří Tencentu, to potvrdil v noci na 5. listopadu oznámením s časovou osou útoku a omluvil se. Hru vyvíjí studio Shift Up.

Podle oznámení útočníci zčásti upravili skripty, které si spouštěč při otevření načítá ze sítě pro doručování obsahu (CDN) vydavatele. Hráč tedy nemusel stáhnout nic podezřelého. Stačilo otevřít program, kterému věřil. Mobilní verze hry zasažená nebyla, takže kdo hraje jen na telefonu, nemusí podle vydavatele nic dělat.

Vydavatel a výzkumník se rozcházejí v tom, kdy útok začal

Podrobný rozbor zveřejnil 3. listopadu nezávislý výzkumník, který vystupuje pod přezdívkou MotherSphere, v technické zprávě na GitHubu. Vydavatel nejdřív 4. listopadu na síti X napsal jen to, že skripty spouštěče mohla upravit třetí strana a že vydal opravu. Časovou osu přidal o den později. Časy v tabulce jsou přepočtené na náš čas.

kdy	co se stalo	kdo to uvádí
27. září, 3.59	cizí osoba převzala doménu insightjs.com, kterou používaly některé herní služby	vydavatel
27. září, 8.41	skripty spouštěče jsou upravené přes tu doménu; výzkumník našel čtyři změněné soubory	vydavatel i výzkumník
23. října, 18.40	nejstarší nahlášené spuštění škodlivého programu na počítači hráče	výzkumník podle logů od hráčů
29. října, 19.52	začala distribuce škodlivého programu	vydavatel
3. listopadu, 18.04–18.23	vydavatel vyměnil tři upravené soubory	vydavatel i výzkumník
4. listopadu, 4.09	na serverech CDN se obnovil i čtvrtý soubor	vydavatel i výzkumník
5. listopadu, 0.00	oficiální klient začal při spuštění hledat a mazat škodlivý program	vydavatel

Šest dní mezi 23. a 29. říjnem vydavatel nijak nevysvětluje. Na rozpor upozornil i Malwarebytes v rozboru z 5. listopadu. Pro hráče na tom ale nesejde, protože vydavatel sám žádá kontrolu po každém, kdo spouštěč pro Windows otevřel aspoň jednou od 27. září od 8.41 našeho času. Program přitom nedorazil při každém spuštění: podle hlášení jednoho hráče přišel při třech spuštěních z asi devatenácti.

Program uměl vzít hesla z prohlížeče i data kryptopeněženek

Podle výzkumníka šlo o nástroj pro vzdálený přístup, který útočník řídil ze svého serveru. Dokud byl spouštěč otevřený, mohl útočník spouštět na počítači libovolné programy a příkazy, procházet a stahovat soubory a pořizovat snímky všech monitorů. Program uměl vytáhnout uložená hesla z Chromu, Edge, Brave, Vivaldi, Opery a Firefoxu, z prohlížečů postavených na Chromiu i cookies. Ty stačí k tomu, aby se útočník do služby dostal bez hesla. Bral také data z 28 rozšíření pro kryptopeněženky, uložené přihlášení do NIKKE a přístupové klíče vývojářských nástrojů.

Zavření spouštěče nemuselo stačit. Na Windows si program zapsal do registru uživatele knihovnu, kterou měl načítat Chrome. Podle hlášení z jednoho počítače ji načetl i pomocný proces Steamu. Které příkazy útočník poslal, se z logů zjistit nedá, a výzkumník proto radí počítat s nejhorším. Kolik počítačů program zasáhl, zatím není známo, uvádí Malwarebytes.

Ochranu nedává ani Linux. Kdo hrál na Steam Decku nebo na Linuxu přes vrstvu Proton, mohl podle výzkumníka přijít o cokoli, co smí číst jeho uživatel, třeba o klíče SSH.

Stopu najdete v logu spouštěče

Vydavatel vydal návod na ruční kontrolu. Nejdřív se zavře hra, spouštěč i Chrome (včetně ikony v oznamovací oblasti) a počítač se odpojí od sítě. Ve složce, kam je hra nainstalovaná, se pak v Poznámkovém bloku otevře soubor Launcher\intl_service\debug.log a hledá se v něm text k2f_chan registered. Když tam je, škodlivý program na počítači podle vydavatele mohl běžet, podle výzkumníka běžel určitě. Když tam není, riziko to úplně nevylučuje a vydavatel radí aspoň plnou kontrolu antivirem.

Druhá cesta je oficiální klient. Ten od 5. listopadu při spuštění sám hledá škodlivý program a se souhlasem hráče smaže související logy, knihovny a záznamy v registru. Výzkumník upozorňuje, že tím zmizí i stopy, které může hráč potřebovat, až bude škodu hlásit. Podle jednoho hlášení smazal aktualizovaný spouštěč soubor debug.log bez ptaní. Kdo chce mít doklad, má si proto před spuštěním hry zkopírovat debug.log, složku Launcher\log a mezipaměť %APPDATA%\nikke_launcher\tbs_cache.

Co dělat, když je stopa v logu

Ruční odstranění podle vydavatele vypadá takhle:

1. V Editoru registru smazat klíč HKEY_CURRENT_USER\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}. Klíč stejného jména může být i jinde, ten se nemaže.
2. Restartovat Windows.
3. Ve složce %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper smazat jen podsložku, jejíž jméno má přesně 64 šestnáctkových znaků a která obsahuje soubor platform_experience_helper.dll. Zbytek složky patří Chromu.
4. Ve složce hry Launcher\log\tinyget smazat soubor tinyget.<datum>-<čas>.log o velikosti 205 135 bajtů a pak celou mezipaměť tbs_cache.
5. Z jiného zařízení změnit hesla ke všem účtům, které se na počítači používaly, a zneplatnit uložené klíče a přístupové tokeny.
6. Pustit plnou kontrolu antivirem a offline kontrolu Microsoft Defenderu.

Výzkumník k tomu přidává odhlášení všech relací (Discord, Google, Steam a další), protože ukradené cookies fungují i bez hesla, a zapnutí dvoufázového ověření. Peníze z kryptopeněženky radí přesunout do nové peněženky s novou obnovovací frází. Za nejbezpečnější považuje přeinstalovat Windows, protože útočník mohl na počítači spustit cokoli. Offline kontrola Defenderu navíc na jednom počítači knihovnu nenašla. Kdo přišel o peníze nebo o účet u jiné služby, má se podle vydavatele ozvat zákaznické podpoře ve hře.

Pozor na rady od cizích. Pod zprávou výzkumníka se 5. listopadu objevil komentář s „opravným“ příkazem pro PowerShell s právy správce, který stahoval skript z cizí domény a s útokem nesouvisel. Kdo ho spustil, má podle výzkumníka počítač považovat za napadený.

Jak se útočník k souborům vydavatele dostal, oznámení neříká

Vydavatel píše o převzaté doméně, ale ne o tom, jak se upravené skripty ocitly na jeho vlastní CDN. Level Infinite podle oznámení prověřuje zabezpečení své sítě včetně CDN a slibuje hlídání neoprávněných změn souborů, ověřování celistvosti všeho, co spouštěč stahuje zvenku, a menší oprávnění pro jeho jednotlivé funkce. Doménu insightjs.com její registrátor 5. listopadu pozastavil. Výzkumník radí ji dál blokovat, protože pozastavení jde zrušit.

Zdroje

• Level Infinite: PC Launcher Security Incident and Follow-up Measures (5. listopadu 2026)
• Level Infinite: Manual Security Check Instructions for the PC Launcher (5. listopadu 2026)
• NIKKE na síti X: Notice Regarding PC Launcher Anomaly (4. listopadu 2026)
• MotherSphere: NIKKE PC launcher compromise (November 2026), GitHub Gist (od 3. listopadu 2026, průběžně doplňováno)
• Malwarebytes: NIKKE PC launcher compromise put players’ passwords and personal files at risk (5. listopadu 2026)
• PCMag: PC Game Launcher for Goddess of Victory: Nikke Hacked To Spread Malware (4. listopadu 2026)