NIKKE PC 启动器脚本被指分发远控恶意程序，客户端更新不能清理已感染电脑
研究人员在四个 NIKKE PC 官方启动器脚本中发现恶意代码，并报告远控载荷执行迹象。运营方承认可能存在脚本篡改并已更新客户端；11 月 4 日研究人员复查发现四个已知 CDN 文件已干净，但旧缓存及既有感染仍须清理，受影响人数不明。
- 披露时间
- 2026年11月3日
- 更新于 2026年11月4日
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- NIKKE PC 启动器用户；研究报告涉及 Windows 及经 Proton 运行的 Linux/Steam Deck，不涵盖移动应用。
- NIKKE · Supply chain · Credentials
- 在野利用
- 说法不一
- 研究人员报告受感染主机证据；运营方确认可能篡改，尚未确认完整影响范围。
发生了什么
11 月 3 日公开的原始分析指出，Level Infinite 官方 CDN 上四个被修改的 JavaScript 文件会加载外部脚本，再通过 PC 启动器内嵌 Chromium 的桥接接口下载 LuaJIT 远控 Agent。研究人员分析了一台受影响电脑及载荷静态代码，并将其他用户的观察标为转述证据。命令可读取文件、执行程序及截屏；分析还识别出浏览器、凭据窃取能力及 Windows Chrome 持久化路径。具有能力不代表每项凭据均已被盗，尚无受害者总数或确认的钱包损失总额。
运营方可读官方片段承认第三方可能篡改脚本，将客户端修复时间标为 11 月 4 日约 02:30 UTC+9，即 11 月 3 日 17:30 UTC。研究人员在 11 月 3 日 22:26 UTC 仍从两台 CDN 节点观察到被修改的 FeedList。WormW 随后报告，11 月 4 日 07:14–07:20 UTC 复查中四个已知官方文件均返回干净内容，包括 FeedList 的标准及带缓存参数请求；外部响应尚不能完全区分源站及中间缓存状态。这些观察涉及不同层面：客户端更新、源站清理、CDN 缓存及已经感染的电脑，不能将通知视为每份缓存或每台电脑均已干净。完整官方通知仍无法读取，本文不对未读部分作推断。
研究报告更正了早先建议：PlatformExperienceHelper 父目录属于正常 Chrome 内容，onominan.tmp 不是感染指标。攻击者如何获得 CDN 或发布权限仍不明。所引分析未涵盖移动客户端，不能据此证明移动端不受影响。涉及广泛使用的启动器及有记录的恶意分发，因此评为 L3；运营方尚未确认实际执行的完整范围。
11 月 4 日原始研究更新： MotherSphere 现称 11:20 UTC 时，两主机的四个已知文件在四个已检查 CDN 节点均已干净，但其核阅的公开扫描在 00:48 UTC 仍取得恶意 FeedList，观察节点在 03:12–03:21 UTC 取得干净副本。这补充了上文时间更早的 WormW 复查，并不矛盾，也不能证明全球清缓存。清理启动器缓存前先保留日志及 Local Storage，包括压缩的 .ldb 文件。较早报告载荷使用额外临时文件名及哈希，未命中最新哈希不能证明安全。初始 CDN／发布权限入侵途径和完整受害范围仍未查明。
可选证据检查工具： 原报告现链接作者发布的 NIKKE Launcher Check，v0.5.1 于 11 月 4 日 13:39 UTC 发布。说明区分脚本暴露、代理感染、未发现痕迹及未找到安装目录。这些是工具判定，不是完整取证结论。清理前保留缓存，分享报告前脱敏；疑似失陷时仍须手动调查、清除持久化或重建，并从干净设备轮换凭据。本文没有运行或独立审计该工具。
案发时间线
2026年9月27日
被修改的启动器文件带有九月时间戳
日期来自研究人员核阅的 CDN 文件头，并非公开披露日期。
10月23日 16:40 UTC
研究人员收到的最早 Agent 启动记录
来自评论者日志，属于转述证据，并非厂商确认的活动开始时间。
11月3日 16:57 UTC
研究人员公开技术报告
GitHub Gist 元数据记录发布时间；分析依据文件、缓存、日志及载荷静态检查。
2026年11月3日
运营方报告约 17:30 UTC 更新客户端
官方公开通知写明 11 月 4 日约 02:30 UTC+9，未指定修复后的启动器版本。
11月3日 22:26 UTC
研究人员仍观察到被修改的 CDN 副本
两台 CDN 节点在所述客户端更新时间之后仍分发 FeedList，客户端修复不能证明 CDN 已全面清理。
2026年11月4日
官方通知承认可能存在第三方脚本篡改
可读的公开嵌入片段证实该说明及更新时间；本轮未能读取完整通知。
11月4日 07:14–07:20 UTC
研究人员复查四个已知官方文件，响应均已干净
WormW 报告四个 URL 的响应已干净，FeedList 的标准及带缓存参数请求也均如此。这只是限定范围的观察，不能证明每个 CDN 节点、本地缓存或受感染主机均已干净。
11月4日 11:20 UTC
原始研究人员在四个已检查 CDN 节点发现干净文件
MotherSphere 的 12:11 GMT 报告称，两主机的四个已知文件在四个检查节点均已干净；报告仍在 00:48 UTC 收到旧恶意 FeedList，节点于 03:12–03:21 UTC 取得干净副本。其他边缘节点和感染主机仍未核实。
11月4日 13:39 UTC
研究人员发布可选的本地证据检查工具
GitHub 发版元数据记录 NIKKE Launcher Check v0.5.1。作者称工具只在本地读取检查；未检出不能证明安全。删除缓存前应先检查或保留证据。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- MotherSphere 原始技术报告及指标清单一手来源通过公开 GitHub Gist API 阅读完整原文，区分自身主机、静态分析及评论者报告，列出 CDN 缓存观察、指标与清理更正。 11 月 4 日 12:11 GMT 修订新增 11:20 UTC 四节点干净复查、较晚历史旧缓存观察、旧载荷指标及压缩 .ldb 证据。
- NIKKE 官方通知的公开嵌入片段一手来源可读官方片段承认 PC 脚本可能遭篡改，并说明 11 月 4 日 02:30 UTC+9 修复客户端。直接 X 页面返回 403，嵌入片段后半截被截断，未视为已读。
- MotherSphere 公开 GitHub Gist API 原文副本一手来源实际核阅的完整英文文件及 UTC 创建元数据，与原报告属于同一来源，不是独立佐证。
- WormW 原始样本分析及当前文件复查一手来源11 月 4 日 07:14–07:20 UTC 复查发现四个已知文件已干净，记录历史恶意副本、当前哈希及缓存边界。原始分发观察归于 MotherSphere 及第三方报告。
- WormW 完整指标 CSV一手来源超过 100 行指标并标记置信度，包含历史哈希、ETag、网络模式及本地痕迹；共享服务和历史指标须结合上下文。
- MotherSphere NIKKE Launcher Check 原始说明一手来源作者描述的本地只读扫描、可选报告保存、检查及判定限制、发版校验和与脱敏；不是工具独立审计或主机安全保证。
- NIKKE Launcher Check v0.5.1 发版元数据一手来源11 月 4 日 13:39:38 UTC 发布，列出各平台文件及校验和文件；没有运行下载的可执行程序。