---

※ 引述《jorden0804 (飛行雪絨)》之銘言：
: 來源是nga但是巴哈有人幫忙整理了
: 巴哈:
: https://forum.gamer.com.tw/C.php?bsn=36390&snA=23304&tnum=1
: 轉巴哈原文
: 先講清楚：這是對岸玩家在 NGA 整理的分析，目前還沒有官方公告。但我有兩個玩日版
: 的朋友照下面的方法查，log 裡真的有特徵字串，所以不是只有國際版受影響，玩 PC 版
: 的人建議都檢查一下。
: 原文（NGA）：https://bbs.nga.cn/read.php?tid=47843502
: 怎麼自我檢查
: 1. 檢查啟動器的 log
: 打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋
: k2f_chan。如果看到類似下面這種紀錄，就代表中了：
: [1101/012037.043:INFO:CONSOLE(1)] "k2f_chan registered", source: (1)
: [1101/012037.114:INFO:CONSOLE(1)] "adopted uuid", source: (1)
: 2. 檢查 Chrome 資料夾
: 看看這個資料夾存不存在：
: C:\Users\你的使用者名稱\AppData\Local\Google\Chrome\User
: Data\PlatformExperienceHelper\
: 3. 檢查登錄檔
: 在 PowerShell 輸入：
: reg query
: "HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32"
: 如果出現「系統找不到指定的登錄機碼或值」，就是沒事。如果有查到東西，而且指向上
: 面那個資料夾裡的 platform_experience_helper.dll，就代表中了。
: 照 NGA 原文的描述，中毒的特徵是下面兩個條件同時成立：
: User Data\PlatformExperienceHelper\ 底下有一個子資料夾，名稱是一長串 64 個字元
: 的英數字（也就是惡意 dll 的 SHA256），裡面放著 platform_experience_helper.dll
: 。
: 登錄檔的 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 有指向那個 dll。
: 4. 連線特徵
: 惡意程式會連線到 insightjs[.]com 這個網域。
: 已知的惡意行為（根據原作者分析）
: 啟動器會載入惡意的 JS，再下載程式碼到電腦上執行。它可以讀取檔案、截圖、執行任
: 意程式，也能接收遠端指令。
: 會偷走的資料包括：
: SSH 私鑰、Git 憑證、環境變數、指令紀錄、PuTTY 和 WinSCP 的設定
: 各種 API 金鑰和 Token，例如 OpenAI、Anthropic、AWS、GitHub、Google、npm、
: Stripe、Slack 等
: Chrome、Edge、Brave、Vivaldi、Opera、Firefox 裡存的密碼和登入狀態，而且所有設
: 定檔都會被讀
: 加密貨幣錢包的資料
: NIKKE 的帳號密碼
: 會在 Chrome 裡常駐，偷取助記詞、私鑰、密碼這類資料。
: 時間線（根據原作者整理）
: 9/27：insightjs.com 這個過期的網域被人重新註冊
: 10/6：網域申請到第一張 SSL 憑證
: 10/29：惡意程式編譯完成
: 10/30：網站首頁換成假的「InsightJS」服務頁面
: 11/1：原作者中招
: 如果中了，該怎麼做
: 換掉所有密碼。 把瀏覽器裡存的所有密碼、登入中的帳號都登出，改完密碼再重新登入
: 。換的時候建議用另一台乾淨的裝置來改。
: 工程師要多做一步。 有寫程式或管伺服器的人，要更換所有私鑰、伺服器密碼和 API 金
: 鑰，Git 憑證也要撤銷。
: 有加密貨幣的人，盡快換新錢包並把資產轉過去。
: 官方修好之前，先別開 PC 版 NIKKE。
: 全機掃毒。 然後確認上面那個 dll 資料夾和登錄檔項目都已經刪掉了。
: 以上的行為分析是原作者觀察到的版本，之後可能還會變。沒中的人也建議先別開 PC 版
: ，等官方的說明。


目前的消息整理：



2. 由於這次攻擊的手法是竄改 Level Infinite CDN 上的網頁前端檔案
（如 FeedList.js、vue-bucket.js 等）
所以在事前就先用防火牆封鎖啟動器內建瀏覽器的玩家是躲過一劫的
我也是，還好幾年前只是嫌騰訊的機巴影片廣告很吵所以封鎖了
https://forum.gamer.com.tw/C.php?bsn=36390&snA=16463

3. 只用手機版遊玩的玩家自然也是躲過一劫，因為手機版完全沒需要經過啟動器的流程

4. 目前上游 CDN 的檔案已經恢復

5. 目前攻擊者的 server 已經停止回應 不確定是被其他白帽攻擊還是其他影響

6. 目前SU跟騰訊（Level Infinite）都還沒有發出聲明公告


大概就這樣
一起來舉火把看看事態發展如何吧（

--
https://i.urusai.cc/fde2A.jpg

https://i.meee.com.tw/PfkDJSe.gif



--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.75.187.47 (臺灣)
※ 作者: jeremy7986 2026-11-04 10:18:53
※ 文章代碼(AID): #1gwfOFO4 (C_Chat)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1793758735.A.604.html