四个 JS 文件被改
《胜利女神：NIKKE》的 PC 端启动器遭第三方篡改，被用来投放恶意程序。有 4 个官方 JavaScript 脚本被改写，它们经由 Level Infinite 的 CDN 下发，脚本的改动发生在 2026 年 9 月下旬，具体指向 27 日；攻击窗口则从 10 月 23 日延续到 11 月 3 日。恶意程序会取走浏览器里存下的登录密码、Windows 凭据库、SSH 私钥，以及云服务和 AI 服务的访问令牌，还能动 28 种浏览器钱包。玩家可查游戏目录下的 debug.log，出现 k2f_chan registered 就应卸载并全盘扫描。
为什么启动器是好入口
它随游戏安装、以用户权限运行，每次打开都会从 CDN 拉取脚本。入口一旦被改写，所有玩家在同一时间暴露，不需要逐个钓鱼。下载器把恶意代码藏进正常脚本，混淆后指向 insightjs.com 与 insightjs.org 两个备用域名，落地的是一段 LuaJIT 载荷 insight.bundle，最终拉起 K2F 远控代理。
两种口径
Solidot 给出的是完整攻击窗口与 4 个文件；BleepingComputer 补上官方在 11 月 4 日 02:30（UTC+9）发布修复，并引述研究者称 11 月 3 日只替换了其中 3 个，第 4 个在 22:26 GMT 仍在分发。前者收束在 11 月 3 日，后者说明风险可能多留了一段。BleepingComputer 还表示，钱包窃取模块是否实际投放尚无证据。
原文链接：https://www.solidot.org/story?sid=85798
来源：Solidot
