《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包
内容提要
《胜利女神：妮姬》国际服PC启动器遭遇供应链攻击，黑客篡改官方CDN上的JavaScript文件，玩家启动游戏时可能运行远程控制木马，导致浏览器密码、SSH私钥、API密钥及加密钱包数据被窃取，并植入恶意DLL实现持久驻留。官方已紧急修复被污染文件，但不会清除已感染的木马。玩家可检查日志中的k2f_chan等迹象自查，确认感染后应立即断网、更换凭据并重装系统。
延伸解读
供应链攻击的隐蔽性：正常启动即中招
攻击者并未攻破游戏服务器，而是篡改了官方CDN上的JavaScript文件。玩家只要正常启动游戏，启动器就会加载被污染的脚本，进而下载并执行远程控制木马。这种手法绕过了玩家对“官方渠道”的信任，也说明第三方CDN或脚本托管环节可能成为安全短板。即使官方后续修复了文件，已下载到本地的恶意程序仍可能继续运行。
自查线索有限，阴性结果不能完全排除感染
文章给出的自查方法是在启动器日志中搜索“k2f_chan”等关键词，并检查Chrome用户数据目录下是否存在特定DLL。但需注意：找到关键词只代表存在恶意代码运行的迹象，不等于密码已被窃取；没找到也不能完全排除感染。木马具备持久化驻留能力，可能通过恶意DLL在游戏退出后继续存在，因此仅凭单一日志判断风险并不充分。
修复启动器不等于清除木马，感染后需彻底处置
运营方已紧急修正被污染的JavaScript文件，但官方修复的是启动器加载的脚本，并不会自动清除此前已植入玩家电脑的木马。由于该木马具备远程命令执行、截图、读取文件等能力，确认感染后应立即断网，在另一台可信设备上更换重要密码、SSH私钥和API Token，并考虑重装系统。涉及加密货币钱包的，还应创建新钱包并转移资产。
事件后续存疑：启动器警告可能来自第三方
文章提到一个离奇后续：攻击者控制的服务疑似关闭后，启动器加载的代码回退到insightjs[.]org，该域名据称已被第三方注册并用于展示安全警告。这意味着部分玩家在启动器中看到的警告公告，可能并非游戏官方发布。攻击者如何获得CDN文件修改权限、实际感染人数和数据泄露范围仍不明确，读者应对后续信息保持审慎。
Q&A
妮姬PC客户端供应链攻击是怎么发生的？
黑客篡改了游戏启动器从官方CDN加载的JavaScript文件，玩家正常启动游戏时就会在不知情的情况下运行远程控制木马。
这次攻击可能窃取哪些类型的数据？
可能窃取浏览器密码、Cookie和登录会话，SSH私钥、GitHub/GitLab/AWS/OpenAI/Anthropic等服务的密钥和Token，以及加密货币钱包相关文件和数据。
如何检查自己的电脑是否感染了妮姬启动器木马？
检查游戏安装目录下的日志文件 Launcher\intl_service\debug.log，搜索关键词 k2f_chan，若出现“k2f_chan registered”或“adopted uuid”则需按可能感染处理。也可检查 %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 下是否有 platform_experience_helper.dll。
确认感染木马后应该采取哪些应急措施？
立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换SSH私钥和API Token；涉及加密货币钱包的应创建新钱包并转移资产；由于木马可远程执行命令，建议重装系统。
官方是否已经修复了被篡改的文件？修复后木马会自动清除吗？
截至2026年11月4日，运营方已承认异常并完成紧急修正，四个已知被污染的JavaScript文件已恢复正常。但官方修复启动器不会自动清除已安装到玩家电脑中的木马。
木马如何实现持久化驻留？
木马通过Chrome相关目录植入恶意DLL（如 platform_experience_helper.dll），使恶意程序可能在游戏退出后继续存在。
