✨︎ Resumen (TL;DR):
- Level Infinite confirmó que 4 archivos del lanzador de Windows de NIKKE fueron alterados y se usaron para distribuir software malicioso.
- La editora pidió revisar equipos que abrieron el programa desde las 15:41 del 27 de septiembre de 2026, en horario de Corea del Sur.
- Level Infinite añadió al cliente una función de detección y limpieza, pero el alcance de las infecciones sigue sin determinarse.
Level Infinite confirmó que 4 archivos del lanzador para Windows de Goddess of Victory: NIKKE fueron alterados y se usaron para distribuir software malicioso. La editora pidió revisar cualquier computadora que haya abierto el programa al menos una vez desde las 15:41 del 27 de septiembre de 2026, en horario de Corea del Sur, mientras investiga el alcance de las infecciones. La versión móvil no resultó afectada, según su guía, y abrir el lanzador en ese periodo no demuestra por sí solo que el equipo haya sido infectado.
El lanzador de PC es el programa que se abre antes del juego. En este caso, la advertencia se refiere a esa aplicación para Windows, no a la versión móvil; haberla usado durante la ventana señalada tampoco confirma una infección.
La modificación y la distribución ocurrieron en fechas distintas
4 archivos que el lanzador descargaba de la red de distribución de Level Infinite fueron modificados el 27 de septiembre. Sin embargo, la cronología de la editora sitúa el inicio de la distribución del programa malicioso el 30 de octubre, en horario UTC+9.
MotherSphere detectó una discrepancia. Su análisis recoge un reporte de ejecución del agente el 23 de octubre, en horario UTC, acompañado de una versión del archivo de esa fecha que aportó un usuario. Ese indicio adelantaría el inicio de la actividad frente a la fecha comunicada por la empresa, pero no permite saber cuántas computadoras pudieron infectarse entonces.
Level Infinite pidió revisar equipos que hayan abierto el lanzador al menos una vez desde las 15:41 del 27 de septiembre (UTC+9). Ese momento equivale a las 06:41 UTC del mismo día; en la costa oeste de Estados Unidos eran las 23:41 del 26 de septiembre.
El 4 de noviembre, en horario de Corea del Sur, la empresa reemplazó 3 archivos alterados y después actualizó la caché del cuarto. MotherSphere observó que algunas copias modificadas siguieron disponibles en servidores de distribución después de la primera corrección. Sustituir esos archivos no elimina automáticamente lo que ya pudiera haberse instalado en una computadora.
Qué podía hacer el malware
K2F es un agente de acceso remoto que, según el análisis de MotherSphere, podía recibir órdenes para consultar archivos y obtener información almacenada en la computadora.
BleepingComputer examinó por su cuenta 2 archivos modificados y encontró código diseñado para descargar y ejecutar contenido adicional. El medio también analizó una muestra de otro componente de Windows con funciones dirigidas a datos de extensiones de carteras de criptomonedas.
BleepingComputer no pudo confirmar si ese componente concreto llegó a instalarse en los equipos afectados ni si se robaron criptomonedas. Aju Press reportó que, al 5 de noviembre, todavía no se había informado cuántas computadoras se infectaron.
Cómo revisar una computadora sin abrir el lanzador
Level Infinite incorporó al cliente una función que busca los programas maliciosos relacionados con el incidente y, con autorización del usuario, elimina los elementos detectados. La editora también publicó una guía para hacer la revisión manual sin abrir el lanzador, de acuerdo con el texto reproducido por Inven Global.
Para una revisión manual, la guía indica:
- Desconectar la computadora de la red y cerrar el juego, el lanzador y Chrome.
- Buscar la entrada
k2f_chan registeredenLauncher/intl_service/debug.log, dentro de la instalación. Su presencia indica que el agente se ejecutó, según MotherSphere; su ausencia no basta para descartar el riesgo, advierte la guía de Level Infinite. - Conservar una copia de los registros antes de usar la función de limpieza si se necesita documentar lo ocurrido. MotherSphere advierte que la herramienta puede borrar archivos útiles para determinar si el agente se ejecutó.
- Actualizar el antivirus y ejecutar un análisis completo y otro sin conexión con Microsoft Defender.
MotherSphere también recogió un reporte de una instalación en la que el cliente actualizado eliminó el registro sin mostrar una ventana de confirmación. Si aparece una infección o persisten las dudas, una revisión especializada puede ayudar a definir los siguientes pasos. Un resultado sin detecciones no demuestra por sí solo que nunca se haya expuesto información.
Qué hacer con contraseñas, API keys y tokens
Level Infinite recomienda cambiar, desde un dispositivo que no esté afectado, las contraseñas de las cuentas utilizadas en la PC. También pide revocar y reemplazar las claves de API o los tokens que se hayan guardado o usado allí.
La empresa indicó que atenderá mediante soporte a quienes crean haber sufrido daños en sus cuentas o pérdidas económicas.
El registro de ejecución del 23 de octubre y la cronología que ubica la distribución el 30 de octubre no coinciden; las copias alteradas que siguieron disponibles después de la primera corrección mantienen abierto el alcance del incidente. La guía de la editora también advierte que un resultado sin detecciones no demuestra por sí solo que nunca se haya expuesto información.
