Re: [妮姬] 妮姬啟動器疑似被植入後門

作者jeremy7986 (洛米)

看板C_Chat

標題Re: [妮姬] 妮姬啟動器疑似被植入後門

時間Wed Nov 4 10:18:53 2026

※ 引述《jorden0804 (飛行雪絨)》之銘言： : 來源是nga但是巴哈有人幫忙整理了 : 巴哈: : https://forum.gamer.com.tw/C.php?bsn=36390&snA=23304&tnum=1 : 轉巴哈原文 : 先講清楚：這是對岸玩家在 NGA 整理的分析，目前還沒有官方公告。但我有兩個玩日版 : 的朋友照下面的方法查，log 裡真的有特徵字串，所以不是只有國際版受影響，玩 PC 版 : 的人建議都檢查一下。 : 原文（NGA）：https://bbs.nga.cn/read.php?tid=47843502 : 怎麼自我檢查 : 1. 檢查啟動器的 log : 打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋 : k2f_chan。如果看到類似下面這種紀錄，就代表中了： : [1101/012037.043:INFO:CONSOLE(1)] "k2f_chan registered", source: (1) : [1101/012037.114:INFO:CONSOLE(1)] "adopted uuid", source: (1) : 2. 檢查 Chrome 資料夾 : 看看這個資料夾存不存在： : C:\Users\你的使用者名稱\AppData\Local\Google\Chrome\User : Data\PlatformExperienceHelper\ : 3. 檢查登錄檔 : 在 PowerShell 輸入： : reg query : "HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32" : 如果出現「系統找不到指定的登錄機碼或值」，就是沒事。如果有查到東西，而且指向上 : 面那個資料夾裡的 platform_experience_helper.dll，就代表中了。 : 照 NGA 原文的描述，中毒的特徵是下面兩個條件同時成立： : User Data\PlatformExperienceHelper\ 底下有一個子資料夾，名稱是一長串 64 個字元 : 的英數字（也就是惡意 dll 的 SHA256），裡面放著 platform_experience_helper.dll : 。 : 登錄檔的 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 有指向那個 dll。 : 4. 連線特徵 : 惡意程式會連線到 insightjs[.]com 這個網域。 : 已知的惡意行為（根據原作者分析） : 啟動器會載入惡意的 JS，再下載程式碼到電腦上執行。它可以讀取檔案、截圖、執行任 : 意程式，也能接收遠端指令。 : 會偷走的資料包括： : SSH 私鑰、Git 憑證、環境變數、指令紀錄、PuTTY 和 WinSCP 的設定 : 各種 API 金鑰和 Token，例如 OpenAI、Anthropic、AWS、GitHub、Google、npm、 : Stripe、Slack 等 : Chrome、Edge、Brave、Vivaldi、Opera、Firefox 裡存的密碼和登入狀態，而且所有設 : 定檔都會被讀 : 加密貨幣錢包的資料 : NIKKE 的帳號密碼 : 會在 Chrome 裡常駐，偷取助記詞、私鑰、密碼這類資料。 : 時間線（根據原作者整理） : 9/27：insightjs.com 這個過期的網域被人重新註冊 : 10/6：網域申請到第一張 SSL 憑證 : 10/29：惡意程式編譯完成 : 10/30：網站首頁換成假的「InsightJS」服務頁面 : 11/1：原作者中招 : 如果中了，該怎麼做 : 換掉所有密碼。把瀏覽器裡存的所有密碼、登入中的帳號都登出，改完密碼再重新登入 : 。換的時候建議用另一台乾淨的裝置來改。 : 工程師要多做一步。有寫程式或管伺服器的人，要更換所有私鑰、伺服器密碼和 API 金 : 鑰，Git 憑證也要撤銷。 : 有加密貨幣的人，盡快換新錢包並把資產轉過去。 : 官方修好之前，先別開 PC 版 NIKKE。 : 全機掃毒。然後確認上面那個 dll 資料夾和登錄檔項目都已經刪掉了。 : 以上的行為分析是原作者觀察到的版本，之後可能還會變。沒中的人也建議先別開 PC 版 : ，等官方的說明。目前的消息整理： 1. 這波受害的不是只有妮姬，是所有騰訊的遊戲比如 PUBG 三角洲行動暗區突圍王者榮耀等等不確定妮姬玩家的第一篇是否就是吹哨者 2. 由於這次攻擊的手法是竄改 Level Infinite CDN 上的網頁前端檔案（如 FeedList.js、vue-bucket.js 等）所以在事前就先用防火牆封鎖啟動器內建瀏覽器的玩家是躲過一劫的我也是，還好幾年前只是嫌騰訊的機巴影片廣告很吵所以封鎖了 https://forum.gamer.com.tw/C.php?bsn=36390&snA=16463 3. 只用手機版遊玩的玩家自然也是躲過一劫，因為手機版完全沒需要經過啟動器的流程 4. 目前上游 CDN 的檔案已經恢復 5. 目前攻擊者的 server 已經停止回應不確定是被其他白帽攻擊還是其他影響 6. 目前SU跟騰訊（Level Infinite）都還沒有發出聲明公告大概就這樣一起來舉火把看看事態發展如何吧（ -- https://i.urusai.cc/fde2A.jpg

https://i.meee.com.tw/PfkDJSe.gif

-- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.75.187.47 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1793758735.A.604.html

推 serding: 騰訊嘎蛋 11/04 10:19

推 pokemon: 這波看來超嚴重 11/04 10:19

→ jorden0804: 這波準備被老外告到死吧 11/04 10:20

推 waiting1422: 騰訊底下超多遊戲耶，慘 11/04 10:20

推 qsx889: 反正最後就發發聲明說是外部攻擊就當沒事了吧 11/04 10:20

推 p95649564: 有福了一堆 11/04 10:21

推 sactor: 電腦硬體再漲一波 11/04 10:21

推 nashinai: 王者榮耀？那情況可能超乎想像的嚴重 11/04 10:21

推 CCNK: 看來是針對騰訊Level Infinite 11/04 10:21

→ minuteC: 騰訊啟動器的問題可以安全下庄但要快點出來表態 11/04 10:22

→ xga00mex: 感覺我回家要用agent幫我查一下其他家啟動器有沒有問題 11/04 10:23

→ tim111444: 騰子在搞== 11/04 10:24

→ Louta: 感覺三角洲 pubgm人數更多耶 11/04 10:24

推 hoshitani: 竄改Level Infinite的網頁為什麼會影響到所有騰訊遊戲? 11/04 10:24

推 guogu: 王者榮耀那事情超大條了... 11/04 10:24

→ hoshitani: 純好奇 11/04 10:24

推 z900215ro: SU繼續裝死至少要教玩家怎麼檢查補救吧 11/04 10:24

推 crazy6341556: 這幾款都蠻熱門的耶 11/04 10:25

推 bladesinger: 應該是騰訊的內嵌瀏覽器會連到一個統一的網域，被駭 11/04 10:25

→ bladesinger: 客劫持了吧 11/04 10:25

推 JUSTMYSUN: 記得騰訊啟動也能課金這波影響超大企鵝會裝死嗎 11/04 10:25

→ hoshitani: 原來Level Infinite是騰訊的一直以為是妮姬的公司 11/04 10:25

→ a1853457: 10幾個小時了還在裝死，厲不厲害。都造成恐慌了，真的沒 11/04 10:26

→ bladesinger: insightjs這聽起來就是分析用的網站 11/04 10:26

→ a1853457: 事也要出來平息一下吧 11/04 10:26

推 CCNK: Level Infinite不整合進去遊戲裡 11/04 10:26

→ CCNK: SU和Level Infinite各自維護網頁就是會狗屎爛中標 11/04 10:26

→ Louta: 三角洲最近不是還有社群賽 11/04 10:26

→ guogu: Level Infinite是騰訊全球代理品牌 11/04 10:26

推 sinnerck1: Nikke在這清單裡是小咖 11/04 10:28

推 hupshahu: 藤子資安 11/04 10:28

推 Scarlett888: 這下事情嚴重了呀.. 11/04 10:29

→ Louta: 企鵝CDN被竄改 SU有辦法處理嗎？ 11/04 10:29

→ Scarlett888: 妮姬在裡面超小咖 11/04 10:29

→ sarevork: 沒有但是至少來個回報原廠 11/04 10:30

→ jorden0804: 看日推再說以後應該沒有v敢接妮姬工商了 11/04 10:30

推 lolicon: 騰訊中國公司嘻嘻 11/04 10:31

推 sinnerck1: PUBG工商也一堆人接過 11/04 10:34

推 iamnotgm: 晚上沒人上班阿顧機房的又不會管這個反正server沒事 11/04 10:34

→ david31476: 看IRyS也發推緊急延期實況了，我看這波怎麼收拾 11/04 10:37

→ Louta: Pubg 三角洲的工商肯定更多 11/04 10:37

推 shirokase: 日v推那樣說，就表示它還沒學乖 11/04 10:37

→ shirokase: 因為這波是騰訊全中，不是只由有妮姬 11/04 10:37

→ kenny72014a: 我只是搞不懂為啥我的log高達50G就是XD 11/04 10:37

→ jeremy7986: 那log大概是寫得很隨便不會清所以會一直累積 11/04 10:39

推 Shawn5689: 中國公司直接裝死吧 11/04 10:40

推 tacticalandy: 要玩中國的遊戲會有資安問題，這點覺悟應該要有吧？ 11/04 10:41

推 dbr623: 企鵝呵呵企鵝 11/04 10:42

推 WongTakashi: 幾個月前裝PC版時也是怕怕的但也沒有特別預防昨天 11/04 10:42

→ WongTakashi: 就中了唉拉基騰訊 11/04 10:42

推 strongbilly: 鳴潮算嗎 11/04 10:42

推 qq5377352: 鳴潮呢？ 11/04 10:42

→ jorden0804: 鳴潮不是Level Infinite的所以安全 11/04 10:43

推 Echobee: 鳴潮除非你玩的是國服然後用的還是wegame啟動器 11/04 10:43

→ zChika: LoL算是騰訊的嗎 11/04 10:43

→ Echobee: 那可能有點關係 11/04 10:43

→ Louta: 要看海外是不是level infinite 不是的就沒影響 11/04 10:46

推 sarevork: Level Infinite就騰訊就來跑海外的皮阿所以這波外國 11/04 10:49

→ sarevork: 全中然後中國翻牆出來的也中 11/04 10:50

推 blastillocal: 乾，要被偷挖礦了 11/04 10:50

推 iWatch2: lol有發生過數位簽章被盜下載的遊戲程式被加料 11/04 10:51

推 gm3252: 跟中國有關的遊戲都少玩吧 11/04 10:53

推 qq5377352: 噢噢沒問題就好 11/04 10:55

😊 希洽 C_Chat 版：熱門文章

😊 希洽 C_Chat 版：更多文章