《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包
内容提要
《胜利女神：妮姬》国际服PC启动器遭遇供应链攻击，黑客篡改官方CDN上的JavaScript文件，玩家启动游戏时可能运行远程控制木马，导致浏览器密码、SSH私钥、API密钥及加密钱包数据被窃取，并植入恶意DLL实现持久驻留。官方已紧急修复被污染文件，但不会清除已感染的木马。玩家可检查日志中的k2f_chan关键词自查，若确认中招应立即断网、修改密码、更换密钥并重装系统。
延伸解读
供应链攻击的隐蔽性：正常启动即中招
攻击者并未直接入侵玩家电脑，而是篡改了游戏启动器从官方CDN加载的JavaScript文件。玩家只要正常启动游戏，就可能触发恶意代码下载并执行远程控制木马。这种手法绕过了玩家对“官方渠道”的信任，凸显了软件供应链中第三方资源被篡改的风险。即使官方后续修复了文件，已下载的恶意程序仍可能潜伏在系统中。
木马能力远超游戏账号：开发者与加密用户风险更高
该木马具备19条操作命令，可窃取浏览器密码、Cookie、SSH私钥、GitHub/AWS/OpenAI等服务的API密钥，以及加密货币钱包数据。研究人员还发现约1790条敏感文件目标路径，涉及Claude Code、Cursor等AI开发工具。这意味着受影响的不只是普通玩家，使用同一台电脑进行开发或管理数字资产的人群可能面临更严重的凭据泄露和资产损失。
自查与处置：日志关键词只是线索，不能作为唯一依据
玩家可在游戏安装目录的Launcher\intl_service\debug.log中搜索“k2f_chan”，若出现“k2f_chan registered”或“adopted uuid”则需按可能感染处理。但文章明确指出，找到关键词不意味着密码已被成功窃取，没找到也不能完全排除感染。确认中招后应立即断网，在另一台可信设备上修改重要密码、更换SSH私钥和API Token，并考虑重装系统以清除具备远程命令执行能力的木马。
官方修复的局限与后续不确定性
运营方已承认启动器脚本存在第三方篡改异常并完成紧急修正，四个被污染的JavaScript文件也已恢复正常。但攻击者如何获得CDN修改权限、实际感染人数、是否发生大规模数据泄露均无明确答案。更重要的是，官方修复启动器不会自动清除已植入玩家电脑的木马。此外，攻击者控制的服务疑似关闭后，启动器加载的代码回退到第三方注册的域名，部分玩家看到的警告可能并非官方发布，需警惕二次风险。
Q&A
妮姬PC客户端供应链攻击是怎么发生的？
攻击者篡改了游戏启动器从官方CDN加载的JavaScript文件，导致玩家启动游戏时可能运行远程控制木马。
这个木马会窃取哪些信息？
木马会窃取浏览器密码、Cookie、登录会话，SSH私钥、GitHub/GitLab/AWS/OpenAI/Anthropic等服务的密钥和Token，以及加密货币钱包数据。
如何检查我的电脑是否感染了妮姬木马？
检查游戏安装目录下的Launcher\intl_service\debug.log文件，搜索关键词k2f_chan。如果出现“k2f_chan registered”或“adopted uuid”，则存在恶意代码运行迹象。另外检查%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\下是否有platform_experience_helper.dll。
如果确认感染了木马应该怎么办？
立即断网，在另一台可信设备上修改重要密码、注销登录会话、更换SSH私钥和API Token。涉及加密货币钱包的，创建新钱包并转移资产。由于木马有远程命令执行能力，建议重装系统。
官方修复了被篡改的文件吗？修复后木马会消失吗？
截至2026年11月4日，运营方已承认异常并完成紧急修正，四个被污染的JavaScript文件已恢复正常。但官方修复启动器不会自动清除已安装到玩家电脑中的木马。
攻击者是如何获得官方CDN文件修改权限的？
文章指出，攻击者究竟如何获得官方CDN文件的修改权限，目前仍没有明确答案。
