[妮姬] 妮姬啟動器疑似被植入後門

作者jorden0804 (飛行雪絨)

看板C_Chat

標題[妮姬] 妮姬啟動器疑似被植入後門

時間Wed Nov 4 00:27:02 2026

來源是nga但是巴哈有人幫忙整理了巴哈: https://forum.gamer.com.tw/C.php?bsn=36390&snA=23304&tnum=1 轉巴哈原文先講清楚：這是對岸玩家在 NGA 整理的分析，目前還沒有官方公告。但我有兩個玩日版的朋友照下面的方法查，log 裡真的有特徵字串，所以不是只有國際版受影響，玩 PC 版的人建議都檢查一下。原文（NGA）：https://bbs.nga.cn/read.php?tid=47843502 怎麼自我檢查 1. 檢查啟動器的 log 打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋 k2f_chan。如果看到類似下面這種紀錄，就代表中了： [1101/012037.043:INFO:CONSOLE(1)] "k2f_chan registered", source: (1) [1101/012037.114:INFO:CONSOLE(1)] "adopted uuid", source: (1) 2. 檢查 Chrome 資料夾看看這個資料夾存不存在： C:\Users\你的使用者名稱\AppData\Local\Google\Chrome\User Data\PlatformExperienceHelper\ 3. 檢查登錄檔在 PowerShell 輸入： reg query "HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32" 如果出現「系統找不到指定的登錄機碼或值」，就是沒事。如果有查到東西，而且指向上面那個資料夾裡的 platform_experience_helper.dll，就代表中了。照 NGA 原文的描述，中毒的特徵是下面兩個條件同時成立： User Data\PlatformExperienceHelper\ 底下有一個子資料夾，名稱是一長串 64 個字元的英數字（也就是惡意 dll 的 SHA256），裡面放著 platform_experience_helper.dll 。登錄檔的 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 有指向那個 dll。 4. 連線特徵惡意程式會連線到 insightjs[.]com 這個網域。已知的惡意行為（根據原作者分析）啟動器會載入惡意的 JS，再下載程式碼到電腦上執行。它可以讀取檔案、截圖、執行任意程式，也能接收遠端指令。會偷走的資料包括： SSH 私鑰、Git 憑證、環境變數、指令紀錄、PuTTY 和 WinSCP 的設定各種 API 金鑰和 Token，例如 OpenAI、Anthropic、AWS、GitHub、Google、npm、 Stripe、Slack 等 Chrome、Edge、Brave、Vivaldi、Opera、Firefox 裡存的密碼和登入狀態，而且所有設定檔都會被讀加密貨幣錢包的資料 NIKKE 的帳號密碼會在 Chrome 裡常駐，偷取助記詞、私鑰、密碼這類資料。時間線（根據原作者整理） 9/27：insightjs.com 這個過期的網域被人重新註冊 10/6：網域申請到第一張 SSL 憑證 10/29：惡意程式編譯完成 10/30：網站首頁換成假的「InsightJS」服務頁面 11/1：原作者中招如果中了，該怎麼做換掉所有密碼。把瀏覽器裡存的所有密碼、登入中的帳號都登出，改完密碼再重新登入。換的時候建議用另一台乾淨的裝置來改。工程師要多做一步。有寫程式或管伺服器的人，要更換所有私鑰、伺服器密碼和 API 金鑰，Git 憑證也要撤銷。有加密貨幣的人，盡快換新錢包並把資產轉過去。官方修好之前，先別開 PC 版 NIKKE。全機掃毒。然後確認上面那個 dll 資料夾和登錄檔項目都已經刪掉了。以上的行為分析是原作者觀察到的版本，之後可能還會變。沒中的人也建議先別開 PC 版，等官方的說明。 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.177.202.248 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1793723225.A.C1B.html

推 fate201: 持保留態度目前找不到其他相關資訊也沒有看到其他人說 11/04 00:28

→ fate201: 中毒但謹慎一點沒有錯 11/04 00:29

→ fate201: NGA串下有人貼的github上的檢測repo是唯一相關資料但沒 11/04 00:30

→ fate201: 有星星而且是兩小時前才上傳的不清楚有多大影響 11/04 00:31

推 KyuubiKulama: 先看DLL 的sha 丟去virus total 掃看看有沒有吧 11/04 00:32

推 dwiee: 別人上傳的工具建議先別用怕二次投毒 11/04 00:33

推 hifroge: 記得剛開服的時候也有人放這個消息，結果四年後再來一次 11/04 00:39

推 diablohinet: PC玩台版三項都檢查了都沒有 11/04 00:39

→ dieorrun: 感覺是點其他東西中的不是啟動器自帶的 11/04 00:40

推 asasas0723: 對耶我也記得PC版剛出的時候也有差不多的消息 11/04 00:41

推 f1731025: 如果結果GitHub 的才有後門就好笑了 11/04 00:41

→ iComeInPeace: 太可怕ㄌ我選擇關電腦睡覺去 11/04 00:42

推 assop: 我給 gpt-astra 去分析可以看到啟動器有這些行為 11/04 00:42

推 g0428168: 檢查了沒那個子資料夾 11/04 00:42

→ YakumoBeni: 之前妮姬是裝反作弊的問題？ 11/04 00:42

→ assop: 但不能證明這些是後門或是惡意程式 11/04 00:42

→ assop: 別人提供的那個 github repo 可能更可疑== 11/04 00:43

→ jorden0804: 可能還是要等官方公告了英文DC也有人在講 11/04 00:43

推 g0428168: 天天開遊戲如果啟動器沒出現更新突然中很怪吧 11/04 00:46

推 hoshitani: 第一步沒找到k2f_chan 穩了嗎 11/04 00:47

推 g0428168: 還是啟動器上面那個騰訊的垃圾瀏覽器被攻擊了? 11/04 00:50

→ jorden0804: 看起來就是啟動器裡面某個的網域被註冊走了 11/04 00:52

→ AirPenguin: 查了一下有這個log 應該PC都中了?如果屬實蠻大條的吧 11/04 00:54

→ AirPenguin: 看幾個躲過的都把啟動器裡的瀏覽關了 11/04 00:55

推 GenShoku: 我請克大小姐幫我掃了一遍，真的有kf2_chan的相關log， 11/04 00:56

→ Nuey: 我也是第一步沒有找到那個檔案應該沒事吧? 11/04 00:56

→ AirPenguin: 遊戲裡瀏覽器出事也日常了 11/04 00:56

推 GenShoku: 靠== 但沒有找到相關惡意程式，不過保險起見我還是把我 11/04 00:57

→ GenShoku: 重要密碼都改了 11/04 00:57

→ satheni: 沒有找到chrome那個資料夾，那個字串倒是有類似的 11/04 00:57

→ jorden0804: 目前應該就是1沒有就是safe 11/04 00:57

→ acs81046: 看到妮姬又是後門害我想歪了 11/04 00:57

→ dieorrun: 啟動器那些網頁直接用防火牆鎖了阿落後訊息又占資源 11/04 00:58

推 asasas0723: 搜了一下1有東西 2.3都沒東西 11/04 00:59

推 guogu: log有但是後面說的資料夾不存在 11/04 00:59

→ jorden0804: 我去NGA看有1沒23代表還沒被注入巴哈有3的苦主了 11/04 01:00

→ guogu: 照這篇說的原文描述重點應該要有那個dll檔 11/04 01:01

推 g0428168: 我也覺得重點是要有那個dll檔沒有他是要怎麼側錄 11/04 01:02

推 Scarlett888: 還好偶都用平板 11/04 01:02

推 lslayer: 還好我之前因為這個登陸器一直卡更新不能玩就卸載了嚇死 11/04 01:04

推 funkD: 什麼鬼我電腦在另一個地方欸要兩天後才能檢查== 11/04 01:05

推 s8018572: 恐怖 11/04 01:05

推 GBO5: 裝過台版有段時間沒用pc開沒看到p開頭的資料夾 11/04 01:05

推 TiTiTimothy: 第1項那個要完全一樣嗎文章寫的是1101開頭我只 11/04 01:05

→ TiTiTimothy: 找到1103開頭的 11/04 01:05

→ s8018572: 有在用的還可以被註冊走？ 11/04 01:06

→ jorden0804: 1有k2f_chan的話就要趕快查3了 11/04 01:06

推 qweraakk: 1 2都有但是3沒怎麼辦 11/04 01:08

推 s8018572: 話說還要偷nikke帳號資料幹嘛可能是作為沒價值的一部 11/04 01:09

→ s8018572: 分 11/04 01:09

→ s8018572: 最沒 11/04 01:09

→ AirPenguin: 有log不過沒登錄檔這樣有事嗎 11/04 01:09

→ AirPenguin: 看原文說有log就是資料已經被偷了真的假的 11/04 01:10

推 SpiceKey: 植入侵蝕代碼沉浸式體驗 11/04 01:11

→ jorden0804: 應該是看他們分析dll應該只是讓chrome常駐偷而已 11/04 01:11

推 liugs963: 重點是會一直偷你 chrome 上面的資訊妮姬只是個入口 11/04 01:12

推 guogu: 不知道也沒辦法查證吧只能說疑似 11/04 01:13

→ yukitowu: 如果登入器真的被影響到沒有dll只是還沒有被植入 11/04 01:14

→ APOLOA: 只有1 2根本沒資料夾 3沒有需要解除劑我不要被侵蝕R 11/04 01:15

→ yukitowu: 不是沒有事看起來韓國那邊好像也有一篇文在講這個 11/04 01:15

→ Winux: 還是不要太早上這一台車妮姬開服也有類似的抓馬 11/04 01:15

→ yukitowu: 但是看不懂韓文 11/04 01:15

→ laipenguin: 這麼大條的話官方沒反應也是挺怪的 11/04 01:16

推 orca1912: 我是持保留態度= = 11/04 01:16

→ Layase: github下載的執行檔一開就跳兩個trojan警告不過自行打包 11/04 01:17

→ AirPenguin: 1103開頭應該就是11/3號被登的 11/04 01:17

→ Layase: 的原本就滿容易提示 11/04 01:17

推 g0428168: 不太懂有那個k2f_chan但是沒有dll是偷了甚麼東西? 11/04 01:17

→ kevin50605: 1 2都沒有這到底哪來的消息 11/04 01:18

→ AirPenguin: 我是每天登剛看一下1102 1103兩個log 11/04 01:19

→ Layase: https://i.meee.com.tw/uid5PUS.png 11/04 01:19

→ AirPenguin: 看NGA那人是說有log代表被偷過有dll是能持續偷 11/04 01:20

推 TiTiTimothy: 目前只有1有 2、3沒算了不管去睡覺= = 11/04 01:21

推 Destinyqq: 我才剛載回來看劇情欸... 11/04 01:21

→ AirPenguin: 不過騰訊登錄器有毒這個印象也看到好幾次了 11/04 01:21

→ yukitowu: 韓文的文章好像被刪掉了 11/04 01:22

噓 bitcch: 幫高調是真的用AI分析完確實存在惡意程式 11/04 01:22

推 liugs963: 社群 DC好像有專發公告但不知道那個人是不是官方的人 11/04 01:23

推 TiTiTimothy: 剛好週年才用PC版跑劇情和推困難平常都用手機玩 11/04 01:24

→ TiTiTimothy: 這樣就中也太衰= = 根本侵蝕代碼 11/04 01:24

推 bitcch: 補推 11/04 01:24

推 WongTakashi: 有1沒有2.3 11/04 01:24

推 z900215ro: 官方還在睡覺吧早上起來挫咧蛋 11/04 01:25

→ jorden0804: 現在沒有的就先避免開電腦版妮姬了等官方公告 11/04 01:25

推 ligaryyeen: 直到兩天前都有開PC版，剛查一下沒中唉 11/04 01:26

推 louis82828: 雖然檢查一下沒中招但還是先把PC版刪了看來這幾天只 11/04 01:27

→ louis82828: 能用手機將就解每日了 11/04 01:28

→ KAGOD: 什麼直入妮姬後門？ 11/04 01:29

推 WongTakashi: 不過今天開PC版的時候有突然當一下不知道有沒有關係 11/04 01:31

推 WongTakashi: 然後3我查是跳路徑錯誤不是找不到該登陸值 11/04 01:34

推 WongTakashi: 喔是我複製錯沒有2沒錯 11/04 01:37

→ WongTakashi: 巴哈文是說有1就等於有中了...... 11/04 01:38

推 GenShoku: 有1就算中獎了，有agent的叫agent去抓4的log，有就是中 11/04 01:40

→ GenShoku: 獎，沒23也沒用，乖乖改密碼&開兩段驗證 11/04 01:40

推 hotfires: 查了一下沒有1 看來沒被侵蝕 11/04 01:43

推 biollante: 目前1、2都沒有，所以什麼情況才會中 11/04 01:43

推 manbearpig: 1、3沒有只有2是甚麼情況 11/04 01:45

→ yukitowu: PlatformExperienceHelper是Chrome本來就有的資料夾 11/04 01:48

→ dieorrun: 2要看清楚是DLL 不是資料夾 11/04 01:48

→ yukitowu: 重點底下有沒有被植入的dll 11/04 01:48

推 b325019: 要chrome才會中？ 11/04 01:50

推 manbearpig: 沒看到dll 感謝解答 11/04 01:52

→ yukitowu: 你是問Edge或同樣是Chrome分支的瀏覽器的話不清楚 11/04 01:53

推 Safir: 1那個只是代表你被註冊了不一定有偷只是都建議你改 11/04 01:54

→ Safir: 原因是因為目前只知道是靠chrome用DLL去偷可能有別的方法 11/04 01:54

→ Safir: 正常點來說是要查1=>有沒值入東西輸出你電腦資料 11/04 01:55

→ Safir: 有1只是代表你被下載了後門不一定有執行有了23基本就 11/04 01:55

→ Safir: 一定是被偷了有1只是強烈建議你改 11/04 01:55

→ Safir: 真的怕目前應該是跟nga那篇文章把hosts那3個網域改0.0.0.0 11/04 01:56

😊 希洽 C_Chat 版：熱門文章

😊 希洽 C_Chat 版：更多文章