---

來源是nga但是巴哈有人幫忙整理了

巴哈:
https://forum.gamer.com.tw/C.php?bsn=36390&snA=23304&tnum=1

轉巴哈原文



原文（NGA）：https://bbs.nga.cn/read.php?tid=47843502

怎麼自我檢查
1. 檢查啟動器的 log
打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋
k2f_chan。如果看到類似下面這種紀錄，就代表中了：

[1101/012037.043:INFO:CONSOLE(1)] "k2f_chan registered", source: (1)
[1101/012037.114:INFO:CONSOLE(1)] "adopted uuid", source: (1)

2. 檢查 Chrome 資料夾
看看這個資料夾存不存在：
C:\Users\你的使用者名稱\AppData\Local\Google\Chrome\User
Data\PlatformExperienceHelper\

3. 檢查登錄檔
在 PowerShell 輸入：

reg query
"HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32"
如果出現「系統找不到指定的登錄機碼或值」，就是沒事。如果有查到東西，而且指向上
面那個資料夾裡的 platform_experience_helper.dll，就代表中了。

照 NGA 原文的描述，中毒的特徵是下面兩個條件同時成立：

登錄檔的 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 有指向那個 dll。

4. 連線特徵
惡意程式會連線到 insightjs[.]com 這個網域。
已知的惡意行為（根據原作者分析）
啟動器會載入惡意的 JS，再下載程式碼到電腦上執行。它可以讀取檔案、截圖、執行任
意程式，也能接收遠端指令。
會偷走的資料包括：
SSH 私鑰、Git 憑證、環境變數、指令紀錄、PuTTY 和 WinSCP 的設定
各種 API 金鑰和 Token，例如 OpenAI、Anthropic、AWS、GitHub、Google、npm、
Stripe、Slack 等
Chrome、Edge、Brave、Vivaldi、Opera、Firefox 裡存的密碼和登入狀態，而且所有設
定檔都會被讀
加密貨幣錢包的資料
NIKKE 的帳號密碼

會在 Chrome 裡常駐，偷取助記詞、私鑰、密碼這類資料。

時間線（根據原作者整理）
9/27：insightjs.com 這個過期的網域被人重新註冊
10/6：網域申請到第一張 SSL 憑證
10/29：惡意程式編譯完成
10/30：網站首頁換成假的「InsightJS」服務頁面
11/1：原作者中招

如果中了，該怎麼做
換掉所有密碼。 把瀏覽器裡存的所有密碼、登入中的帳號都登出，改完密碼再重新登入
。換的時候建議用另一台乾淨的裝置來改。
工程師要多做一步。 有寫程式或管伺服器的人，要更換所有私鑰、伺服器密碼和 API 金
鑰，Git 憑證也要撤銷。
有加密貨幣的人，盡快換新錢包並把資產轉過去。
官方修好之前，先別開 PC 版 NIKKE。
全機掃毒。 然後確認上面那個 dll 資料夾和登錄檔項目都已經刪掉了。

以上的行為分析是原作者觀察到的版本，之後可能還會變。沒中的人也建議先別開 PC 版
，等官方的說明。

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.177.202.248 (臺灣)
※ 作者: jorden0804 2026-11-04 00:27:02
※ 文章代碼(AID): #1gwWjPmR (C_Chat)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1793723225.A.C1B.html