Gist 威胁情报分析：PC 登录器供应链投毒事件

威胁情报Z分析

2026年11月6日 10:29
广东

去阅读

一、事件基础背景

攻击类型

CDN 供应链投毒（第三方内容分发服务器文件篡改），不是游戏客户端安装包被篡改，是登录器运行时动态拉取的远端 JS 脚本被攻击者替换为恶意版本。

时间线（报告梳理）

受影响对象

国际服 Windows PC 版 NIKKE 登录器，仅在启动 PC 客户端时存在触发风险；手游、主机版不受本次攻击影响。

二、攻击链路（Gist 报告还原完整杀伤链）

投递阶段（T1190：通过公开来源投递）

NIKKE PC 登录器每次启动，自动从官方 CDN 拉取 4 个 JS 脚本：aegis‑fix.min.js、vue‑bucket.min.js、images.7fec4c32.js、FeedList.feb647c9.js，被篡改后的脚本嵌入 JS 加载器，不修改本地游戏安装包。

下载第二阶段载荷

恶意 JS 调用登录器自带下载接口，拉取攻击者控制资源insight.bundle，落地执行K2F（K2F‑chan）LuaJIT 远控代理；报告指出不是每一次打开登录器都会下载成功，感染存在概率性触发，不是 100% 必中。

持久化植入（两条路径）

• 路径 A：Chrome 浏览器扩展 / 辅助组件持久化：释放platform\_experience\_helper.dll，注册 CLSID 注册表项{E77CC89B‑7401‑4C04‑8CED‑149DB35ADD04}，实现跟随浏览器开机驻留，登录器关闭后门仍然存活。
• 路径 B：登录器本地缓存驻留：恶意代码写入%APPDATA%\
  ikke\_launcher缓存目录（Local‑Storage、Code‑Cache），留下k2f.agent标记缓存文件，卸载游戏也不会自动清理该目录残留。

数据窃取与远控行为

K2F 代理具备：

• 读取浏览器保存账号密码、Cookie；
• 扫描窃取加密货币钱包助记词、私钥；
• 支持攻击者下发 Lua 指令，在受害主机执行任意系统命令；
• 日志留下标志性字符串：k2f\_chan registered、adopted uuid、agent started as。

三、Gist 文档内关键 IOC（威胁指标）

1. 日志特征（优先自查）

文件路径：NIKKE安装目录\Launcher\intl\_service\debug.log关键字：k2f\_chan registered、adopted uuid、agent started as，出现即代表 K2F 代理曾经运行过； 路径：Launcher\log\tinyget\，日志出现insight.bundle，代表成功下载恶意载荷。

2. 文件 IOC

Chrome 恶意 DLL：%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\<随机hash>\platform\_experience\_helper.dll

登录器恶意缓存目录：%APPDATA%\
ikke\_launcher\tbs\_cache\Local Storage\leveldb\（检索字符串k2f.agent）%APPDATA%\
ikke\_launcher\tbs\_cache\Code Cache\js\，特定哈希缓存文件名：dd65fa4d61079e7e\_0、ce2fd3f1007a9fe9\_0、1416c638b3830103\_0、fd520c7c0f65c2d7\_0。

3. 注册表 IOC

HKEY\_CURRENT\_USER\Software\Classes\CLSID\{E77CC89B‑7401‑4C04‑8CED‑149DB35ADD04}

⚠️注意：不要误删 HKEY\_LOCAL\_MACHINE 下同名 CLSID，仅检查 Current‑User 分支。

4. 网络 IOC

恶意 bundle 来源域名：insightjs.com（攻击者在 9 月 27 日抢注过期域名用于 C2 下发载荷）。

四、ATT&CK 映射

表格

五、报告局限性（风险提示）

这份 Gist 属于社区独立分析，非厂商官方报告，IOC 集合是目前已发现样本集合，不代表覆盖全部变种；存在未发现的变体可能没有这些特征，杀毒引擎初期对 K2F 检出率较低。

感染具有概率性：打开登录器不等于一定中招，只有当登录器恰好拉取到被篡改 CDN 脚本、成功下载insight.bundle才会触发，报告提到同一个环境 19 次启动仅 3 次成功拉取恶意负载。

卸载游戏不能清除后门

持久化 DLL、注册表、%APPDATA%缓存独立于游戏安装目录，卸载 NIKKE 后门可继续存活。

六、事件处置建议（基于 Gist 报告 + 社区实践）

自查

优先检索 debug.log 日志，再核对缓存文件、注册表、Chrome 恶意 DLL；同时社区基于这份 gist 制作了扫描工具：MotherSphere/NIKKE‑Launcher‑Check发布页，可做自动化扫描。

若确认存在 IOC（曾经运行 K2F 代理）

即便官方发布登录器补丁，补丁仅修复CDN 投毒漏洞入口，不能清理已经留在本机的后门。

七、情报价值总结

这份 gist 是典型游戏供应链安全事件民间威胁情报样本：攻击入口是游戏登录器动态加载远端脚本，不需要篡改本地安装包，普通玩家很难感知；威胁链混合浏览器 COM 组件做持久化，逃逸常规杀毒。

> 风险点启示：桌面客户端如果运行时无校验直接拉取远端 JS / 脚本执行，一旦 CDN 被劫持篡改，就会形成大规模供应链攻击。