Über den regulären Windows-Launcher des Spiels „Goddess of Victory: NIKKE“ wurde Ende Oktober ein Programm zum Diebstahl von Zugangsdaten verteilt. Eine am 12. November 2026 veröffentlichte Untersuchung von Bitdefender beschreibt, wie die Angreifer den legitimen Startprozess nutzten, um den sogenannten k2f-agent in den Rechnern von Spielern auszuführen. Neben Passwörtern aus Chrome, Edge und Opera waren auch Sitzungscookies, Kryptowährungs-Wallets und Entwicklerzugänge potenzielle Ziele.
Die Betreiber hatten Anfang November bereits Manipulationen an Launcher-Ressourcen bestätigt und eine Bereinigung eingeleitet. Bitdefenders neue Analyse liefert nun Details zum technischen Ablauf. Der Umfang tatsächlich abgeflossener Daten und die Zahl betroffener Rechner sind nicht bekannt. Die mobilen Spielversionen für Android und iOS sind nach Angaben des Herausgebers nicht betroffen.
Angreifer nutzten den Aufgabenkanal des offiziellen Launchers
Bitdefenders Auswertung zufolge wurde keine separat heruntergeladene, gefälschte Spielversion benötigt. Der signierte Launcher verfügte über einen regulären Kommunikationskanal, über den ein Server Aufgaben und Download-Adressen an den Client übergeben konnte. Unbekannte Dritte missbrauchten diesen Ablauf: Der Launcher lud einen vermeintlichen Protokolleintrag herunter, der tatsächlich kompilierten LuaJIT-Schadcode enthielt.
Die als k2f-agent bezeichnete Komponente wurde innerhalb des laufenden Launcher-Prozesses ausgeführt. Die Forscher fanden die wesentlichen Bestandteile im Arbeitsspeicher und nicht als dauerhaft eingebautes Modul der ausgelieferten Programmdateien. Das ist für die Einordnung wichtig: Bitdefender dokumentiert einen Angriff über nachgeladene Inhalte und eine vorhandene Service-Schnittstelle, nicht die Ausnutzung einer neu bestätigten Windows-Sicherheitslücke.
Der Hersteller beobachtete entsprechende Aktivitäten ab dem 30. Oktober 2026. Der Spielebetreiber ließ nach eigenen Angaben am 4. November manipulierte Ressourcen ersetzen und den Zwischenspeicher seiner Auslieferungsinfrastruktur aktualisieren. Der später von Bitdefender untersuchte Schadcode und der bereits öffentlich gemeldete Vorfall gehören damit zum selben Angriff, die Analyse vom 12. November ergänzt jedoch wesentliche technische Erkenntnisse.
Bitdefender zerlegte den Schadcode und identifizierte 46 Module, darunter Funktionen für das Auslesen und Zusammenstellen von Zugangsdaten sowie für die Fernsteuerung. Das Programm konnte gespeicherte Passwörter und Cookies aus Chrome, Microsoft Edge und Opera erfassen und verfügte laut Analyse auch über Routinen für Zugangsdaten, die durch Chromes App-Bound Encryption geschützt sind. Das bedeutet nicht, dass jede Browser-Version oder jede gespeicherte Anmeldung tatsächlich ausgelesen wurde; es beschreibt die technischen Fähigkeiten der analysierten Schadsoftware.
Weitere Module zielten auf Browser-Erweiterungen der Krypto-Wallets MetaMask, Phantom, Coinbase Wallet, Keplr und TronLink. Auf Systemen von Entwicklern waren unter anderem SSH- und GPG-Schlüssel, Git-Zugangsdaten, Kubernetes-Konfigurationen, Umgebungsvariablen, PowerShell-Profile, Einträge des Windows-Anmeldeinformationsmanagers und Zugangsdaten für NuGet-Paketquellen von Interesse.
Ob und in welchem Umfang diese Daten auf einzelnen Rechnern tatsächlich erfasst und übertragen wurden, lässt sich aus der beschriebenen Funktionsliste allein nicht ableiten. Die Angaben des Herstellers betreffen die untersuchte Schadsoftware und die konkret beobachteten Angriffsläufe.
Datentransfer über den normalen Datenverkehr des Spielclients
Bemerkenswert ist die Übertragung der gesammelten Daten: Die Angreifer nutzten nach Bitdefenders Rekonstruktion nicht ausschließlich eine auffällige neue Netzwerkverbindung, sondern den bereits vorhandenen Telemetriekanal des Spiel-Launchers. Der Schadcode konnte seine Arbeit in ungefähr sechs bis zehn Minuten abschließen und anschließend temporäre Spuren entfernen. Allein das Fehlen einer auffälligen Datei oder einer neuen ausgehenden Verbindung schließt eine frühere Ausführung deshalb nicht aus.
In den von Bitdefender überwachten und geschützten Fällen stoppte die Funktion Advanced Threat Defense den Launcher, nachdem dessen Prozess untypischerweise auf Browser-Anmeldedaten zugriff. Nach Angaben der Forscher verhinderte dies auf den beobachteten Systemen einen Datenabfluss. Daraus folgt weder, dass jedes Gerät geschützt war, noch dass sämtliche anderen Sicherheitsprodukte die Aktivität zuverlässig erkennen.
Der für die Verteilung genutzte externe Server wurde mittlerweile abgeschaltet. Die bekannte Downloadkette kann darüber laut Bitdefender nicht mehr wie beobachtet ausgeführt werden. Eine nachträgliche Bereinigung bereits kompromittierter Windows-Rechner ist damit allerdings nicht automatisch erfolgt.
Was betroffene Windows-Nutzer jetzt prüfen sollten
Wer den offiziellen NIKKE-PC-Launcher im Zeitraum der gemeldeten Manipulation geöffnet hat, sollte die Sicherheitsprüfung des Spielebetreibers ausführen und das System zusätzlich mit einer aktualisierten Schutzsoftware untersuchen. Der Betreiber hat hierfür den PC-Client aktualisiert und eine eigene Prüfung ergänzt. Da sich die angeführten Zeitfenster für Manipulation und Schadcode-Auslieferung unterscheiden, ist eine vorsichtige Prüfung auch bei Nutzung seit Ende September sinnvoll. Für reine iOS- oder Android-Nutzung ist dieser Windows-Launcher-Angriff nach der vorliegenden Herstellerinformation nicht relevant.
- PC absichern: Launcher und Browser schließen, offizielle Launcher-Prüfung ausführen, vollständigen Virenscan und bei Verdacht zusätzlich eine Offline-Prüfung von Windows-Sicherheit durchführen. Bei Anzeichen eines Befalls das Gerät nicht für weitere Kontoanmeldungen verwenden.
- Konten erneuern: Auf einem nachweislich sauberen Gerät Passwörter ändern, aktive Sitzungen widerrufen und phishingresistente Mehrfaktor-Anmeldung aktivieren, wo verfügbar. Auch wiederverwendete Zugangsdaten berücksichtigen.
- Wallets schützen: Bei möglichem Zugriff auf Seed-Phrasen oder Wallet-Schlüssel betroffene Bestände auf neue, auf einem sauberen Gerät angelegte Wallets übertragen; das bloße Ändern eines Wallet-Passworts ersetzt keinen neuen Wiederherstellungsschlüssel.
- Entwicklerzugänge austauschen: SSH-, GPG-, Git- und API-Schlüssel sowie gegebenenfalls Zugangsdaten in Kubernetes-, CI/CD-, NuGet- und PowerShell-Konfigurationen prüfen und kompromittierte Berechtigungen widerrufen oder rotieren.
Ein Virenscan kann Hinweise liefern, aber nach der beschriebenen Selbstbereinigung des Programms keine zuverlässige Negativgarantie für eine zurückliegende Ausführung geben. Wer einen konkreten Befall vermutet, sollte zusätzlich Anmelde- und Sitzungsprotokolle betroffener Onlinedienste prüfen.
Offizielle Download- und Prüfseite
Für den aktualisierten Windows-Launcher steht die offizielle NIKKE-Downloadseite bereit. Die automatische Sicherheitsprüfung des Betreibers ist nach dessen Mitteilungen Bestandteil des überarbeiteten PC-Clients. Ein bereits möglicher Datenabfluss wird durch eine Neuinstallation allein nicht rückgängig gemacht.
Weitere Informationen
Der ausführliche technische Forschungsbericht von Bitdefender vom 12. November 2026 beschreibt die untersuchten Schadmodule, die Ausführung im Launcher und den Datenabfluss. Malwarebytes fasste bereits am 5. November die erste bestätigte Sicherheitsmeldung und die Maßnahmen für PC-Nutzer zusammen. Gleichwertige deutschsprachige Ausgaben dieser beiden konkreten Forschungsbeiträge waren bei der Recherche nicht nachweisbar.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten