回上層
Disp BBS
看板 C_Chat
作者 jorden0804 (飛行雪絨)
標題 [妮姬] 妮姬啟動器疑似被植入後門
時間 Wed Nov  4 00:27:02 2026

來源是nga但是巴哈有人幫忙整理了

巴哈:
https://forum.gamer.com.tw/C.php?bsn=36390&snA=23304&tnum=1

轉巴哈原文

先講清楚：這是對岸玩家在 NGA 整理的分析，目前還沒有官方公告。但我有兩個玩日版
的朋友照下面的方法查，log 裡真的有特徵字串，所以不是只有國際版受影響，玩 PC 版
的人建議都檢查一下。


原文（NGA）：https://bbs.nga.cn/read.php?tid=47843502

怎麼自我檢查
1. 檢查啟動器的 log
打開 NIKKE 安裝資料夾裡的 Launcher\intl_service\debug.log，用記事本搜尋
k2f_chan。如果看到類似下面這種紀錄，就代表中了：

[1101/012037.043:INFO:CONSOLE(1)] "k2f_chan registered", source: (1)
[1101/012037.114:INFO:CONSOLE(1)] "adopted uuid", source: (1)

2. 檢查 Chrome 資料夾
看看這個資料夾存不存在：
C:\Users\你的使用者名稱\AppData\Local\Google\Chrome\User
Data\PlatformExperienceHelper\

3. 檢查登錄檔
在 PowerShell 輸入：

reg query
"HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32"
如果出現「系統找不到指定的登錄機碼或值」，就是沒事。如果有查到東西，而且指向上
面那個資料夾裡的 platform_experience_helper.dll，就代表中了。

照 NGA 原文的描述，中毒的特徵是下面兩個條件同時成立：
User Data\PlatformExperienceHelper\ 底下有一個子資料夾，名稱是一長串 64 個字元
的英數字（也就是惡意 dll 的 SHA256），裡面放著 platform_experience_helper.dll
。

登錄檔的 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 有指向那個 dll。

4. 連線特徵
惡意程式會連線到 insightjs[.]com 這個網域。
已知的惡意行為（根據原作者分析）
啟動器會載入惡意的 JS，再下載程式碼到電腦上執行。它可以讀取檔案、截圖、執行任
意程式，也能接收遠端指令。
會偷走的資料包括：
SSH 私鑰、Git 憑證、環境變數、指令紀錄、PuTTY 和 WinSCP 的設定
各種 API 金鑰和 Token，例如 OpenAI、Anthropic、AWS、GitHub、Google、npm、
Stripe、Slack 等
Chrome、Edge、Brave、Vivaldi、Opera、Firefox 裡存的密碼和登入狀態，而且所有設
定檔都會被讀
加密貨幣錢包的資料
NIKKE 的帳號密碼

會在 Chrome 裡常駐，偷取助記詞、私鑰、密碼這類資料。

時間線（根據原作者整理）
9/27：insightjs.com 這個過期的網域被人重新註冊
10/6：網域申請到第一張 SSL 憑證
10/29：惡意程式編譯完成
10/30：網站首頁換成假的「InsightJS」服務頁面
11/1：原作者中招

如果中了，該怎麼做
換掉所有密碼。 把瀏覽器裡存的所有密碼、登入中的帳號都登出，改完密碼再重新登入
。換的時候建議用另一台乾淨的裝置來改。
工程師要多做一步。 有寫程式或管伺服器的人，要更換所有私鑰、伺服器密碼和 API 金
鑰，Git 憑證也要撤銷。
有加密貨幣的人，盡快換新錢包並把資產轉過去。
官方修好之前，先別開 PC 版 NIKKE。
全機掃毒。 然後確認上面那個 dll 資料夾和登錄檔項目都已經刪掉了。

以上的行為分析是原作者觀察到的版本，之後可能還會變。沒中的人也建議先別開 PC 版
，等官方的說明。

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.177.202.248 (臺灣)
※ 作者: jorden0804 2026-11-04 00:27:02
※ 文章代碼(AID): #1gwWjPmR (C_Chat)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1793723225.A.C1B.html
※ 同主題文章:
[妮姬] 妮姬啟動器疑似被植入後門
11-04 00:27 jorden0804.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 10:18 jeremy7986.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 11:15 s50189.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 17:01 wifi.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 17:19 LemonUrsus.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 17:55 lunli924.
Re: [妮姬] 妮姬啟動器疑似被植入後門
11-04 17:57 xj654m3.
推 fate201: 持保留態度 目前找不到其他相關資訊 也沒有看到其他人說中毒 但謹慎一點沒有錯
NGA串下有人貼的github上的檢測repo是唯一相關資料 但沒有星星 而且是兩小時前才上傳的 不清楚有多大影響1F 11/04 00:28
推 KyuubiKulama: 先看DLL 的sha 丟去virus total 掃看看有沒有吧5F 11/04 00:32
推 dwiee: 別人上傳的工具建議先別用 怕二次投毒6F 11/04 00:33
推 hifroge: 記得剛開服的時候也有人放這個消息，結果四年後再來一次7F 11/04 00:39
推 diablohinet: PC玩台版 三項都檢查了 都沒有8F 11/04 00:39
→ dieorrun: 感覺是點其他東西中的 不是啟動器自帶的9F 11/04 00:40
推 asasas0723: 對耶 我也記得PC版剛出的時候也有差不多的消息10F 11/04 00:41
推 f1731025: 如果結果GitHub 的才有後門 就好笑了11F 11/04 00:41
→ iComeInPeace: 太可怕ㄌ 我選擇關電腦睡覺去12F 11/04 00:42
推 assop: 我給 gpt-astra 去分析 可以看到啟動器有這些行為13F 11/04 00:42
推 g0428168: 檢查了  沒那個子資料夾14F 11/04 00:42
→ YakumoBeni: 之前妮姬是裝反作弊的問題？15F 11/04 00:42
→ assop: 但不能證明這些是後門或是惡意程式
別人提供的那個 github repo 可能更可疑==16F 11/04 00:42
→ jorden0804: 可能還是要等官方公告了 英文DC也有人在講18F 11/04 00:43
推 g0428168: 天天開遊戲  如果啟動器沒出現更新 突然中很怪吧19F 11/04 00:46
推 hoshitani: 第一步沒找到k2f_chan 穩了嗎20F 11/04 00:47
推 g0428168: 還是啟動器上面那個騰訊的垃圾瀏覽器被攻擊了?21F 11/04 00:50
→ jorden0804: 看起來就是啟動器裡面某個的網域被註冊走了22F 11/04 00:52
→ AirPenguin: 查了一下有這個log 應該PC都中了?如果屬實蠻大條的吧看幾個躲過的都把啟動器裡的瀏覽關了23F 11/04 00:54
推 GenShoku: 我請克大小姐幫我掃了一遍，真的有kf2_chan的相關log，25F 11/04 00:56
→ Nuey: 我也是第一步沒有找到那個檔案 應該沒事吧?26F 11/04 00:56
→ AirPenguin: 遊戲裡瀏覽器出事也日常了27F 11/04 00:56
推 GenShoku: 靠== 但沒有找到相關惡意程式，不過保險起見我還是把我重要密碼都改了28F 11/04 00:57
→ satheni: 沒有找到chrome那個資料夾，那個字串倒是有類似的30F 11/04 00:57
→ jorden0804: 目前應該就是1沒有就是safe31F 11/04 00:57
→ acs81046: 看到妮姬又是後門害我想歪了32F 11/04 00:57
→ dieorrun: 啟動器那些網頁直接用防火牆鎖了阿 落後訊息又占資源33F 11/04 00:58
推 asasas0723: 搜了一下1有東西 2.3都沒東西34F 11/04 00:59
推 guogu: log有 但是後面說的資料夾不存在35F 11/04 00:59
→ jorden0804: 我去NGA看 有1沒23代表還沒被注入 巴哈有3的苦主了36F 11/04 01:00
→ guogu: 照這篇說的 原文描述 重點應該要有那個dll檔37F 11/04 01:01
推 g0428168: 我也覺得重點是要有那個dll檔  沒有他是要怎麼側錄38F 11/04 01:02
推 Scarlett888: 還好偶都用平板39F 11/04 01:02
推 lslayer: 還好我之前因為這個登陸器一直卡更新不能玩就卸載了 嚇死40F 11/04 01:04
推 funkD: 什麼鬼 我電腦在另一個地方欸 要兩天後才能檢查==41F 11/04 01:05
推 s8018572: 恐怖42F 11/04 01:05
推 GBO5: 裝過台版 有段時間沒用pc開 沒看到p開頭的資料夾43F 11/04 01:05
推 TiTiTimothy: 第1項那個要完全一樣嗎  文章寫的是1101開頭  我只找到1103開頭的44F 11/04 01:05
→ s8018572: 有在用的還可以被註冊走？46F 11/04 01:06
→ jorden0804: 1有k2f_chan的話就要趕快查3了47F 11/04 01:06
推 qweraakk: 1 2都有 但是3沒 怎麼辦48F 11/04 01:08
推 s8018572: 話說還要偷nikke帳號資料幹嘛 可能是作為沒價值的一部分
最沒49F 11/04 01:09
→ AirPenguin: 有log不過沒登錄檔 這樣有事嗎
看原文說有log就是資料已經被偷了 真的假的52F 11/04 01:09
推 SpiceKey: 植入侵蝕代碼  沉浸式體驗54F 11/04 01:11
→ jorden0804: 應該是 看他們分析dll應該只是讓chrome常駐偷而已55F 11/04 01:11
推 liugs963: 重點是會一直偷你 chrome 上面的資訊 妮姬只是個入口56F 11/04 01:12
推 guogu: 不知道 也沒辦法查證吧 只能說疑似57F 11/04 01:13
→ yukitowu: 如果登入器真的被影響到 沒有dll只是還沒有被植入58F 11/04 01:14
→ APOLOA: 只有1 2根本沒資料夾 3沒有 需要解除劑 我不要被侵蝕R59F 11/04 01:15
→ yukitowu: 不是沒有事 看起來韓國那邊好像也有一篇文在講這個60F 11/04 01:15
→ Winux: 還是不要太早上這一台車 妮姬開服也有類似的抓馬61F 11/04 01:15
→ yukitowu: 但是看不懂韓文62F 11/04 01:15
→ laipenguin: 這麼大條的話官方沒反應也是挺怪的63F 11/04 01:16
推 orca1912: 我是持保留態度= =64F 11/04 01:16
→ Layase: github下載的執行檔一開就跳兩個trojan警告 不過自行打包65F 11/04 01:17
→ AirPenguin: 1103開頭應該就是11/3號被登的66F 11/04 01:17
→ Layase: 的原本就滿容易提示67F 11/04 01:17
推 g0428168: 不太懂有那個k2f_chan但是沒有dll是偷了甚麼東西?68F 11/04 01:17
→ kevin50605: 1 2都沒有 這到底哪來的消息69F 11/04 01:18
→ AirPenguin: 我是每天登 剛看一下1102 1103兩個log70F 11/04 01:19
→ Layase: https://i.meee.com.tw/uid5PUS.png71F 11/04 01:19
[圖]
→ AirPenguin: 看NGA那人是說有log代表被偷過 有dll是能持續偷72F 11/04 01:20
推 TiTiTimothy: 目前只有1有  2、3沒  算了不管  去睡覺= =73F 11/04 01:21
推 Destinyqq: 我才剛載回來看劇情欸...74F 11/04 01:21
→ AirPenguin: 不過騰訊登錄器有毒這個印象也看到好幾次了75F 11/04 01:21
→ yukitowu: 韓文的文章好像被刪掉了76F 11/04 01:22
噓 bitcch: 幫高調 是真的 用AI分析完確實存在惡意程式77F 11/04 01:22
推 liugs963: 社群 DC好像有專發公告 但不知道那個人是不是官方的人78F 11/04 01:23
推 TiTiTimothy: 剛好週年才用PC版跑劇情和推困難  平常都用手機玩
這樣就中也太衰= =  根本侵蝕代碼79F 11/04 01:24
推 bitcch: 補推81F 11/04 01:24
推 WongTakashi: 有1沒有2.382F 11/04 01:24
推 z900215ro: 官方還在睡覺吧 早上起來挫咧蛋83F 11/04 01:25
→ jorden0804: 現在沒有的就先避免開電腦版妮姬了 等官方公告84F 11/04 01:25
推 ligaryyeen: 直到兩天前都有開PC版，剛查一下沒中唉85F 11/04 01:26
推 louis82828: 雖然檢查一下沒中招但還是先把PC版刪了 看來這幾天只能用手機將就解每日了86F 11/04 01:27
→ KAGOD: 什麼直入妮姬後門？88F 11/04 01:29
推 WongTakashi: 不過今天開PC版的時候有突然當一下 不知道有沒有關係然後3我查是跳路徑錯誤 不是找不到該登陸值
喔 是我複製錯 沒有2沒錯
巴哈文是說有1就等於有中了......89F 11/04 01:31
推 GenShoku: 有1就算中獎了，有agent的叫agent去抓4的log，有就是中獎，沒23也沒用，乖乖改密碼&開兩段驗證93F 11/04 01:40
推 hotfires: 查了一下沒有1 看來沒被侵蝕95F 11/04 01:43
推 biollante: 目前1、2都沒有，所以什麼情況才會中96F 11/04 01:43
推 manbearpig: 1、3沒有 只有2是甚麼情況97F 11/04 01:45
→ yukitowu: PlatformExperienceHelper是Chrome本來就有的資料夾98F 11/04 01:48
→ dieorrun: 2要看清楚是DLL 不是資料夾99F 11/04 01:48
→ yukitowu: 重點底下有沒有被植入的dll100F 11/04 01:48
推 b325019: 要chrome才會中？101F 11/04 01:50
推 manbearpig: 沒看到dll 感謝解答102F 11/04 01:52
→ yukitowu: 你是問Edge或同樣是Chrome分支的瀏覽器的話 不清楚103F 11/04 01:53
推 Safir: 1那個只是代表你被註冊了 不一定有偷 只是都建議你改
原因是因為目前只知道是靠chrome用DLL去偷 可能有別的方法正常點來說 是要查1=>有沒值入東西輸出你電腦資料
有1只是代表 你被下載了後門 不一定有執行 有了23基本就
一定是被偷了 有1只是強烈建議你改
真的怕目前應該是跟nga那篇文章 把hosts那3個網域改0.0.0.0104F 11/04 01:54
推 b325019: 電腦只有edge沒看到1僅供參考110F 11/04 01:57
推 guogu: hosts那個我讓大肥魚加 他說還有三條路
https://i.meee.com.tw/HKlNFMz.png 我讓它都封一封111F 11/04 02:01
[圖]
推 dddx: 查了下1.2都沒 啥情況會中?113F 11/04 02:02
推 crosstony256: 官方還在睡114F 11/04 02:04
→ dieorrun: 我猜是有點啟動器那些網頁 然後被騙登入吧115F 11/04 02:07
推 guogu: 我完全沒點過啟動器上的網頁 照他說明也不用點116F 11/04 02:09
推 g0428168: 我也完全沒點過  他那個是過期網域被註冊117F 11/04 02:12
推 duece0927: 原來被侵蝕的不只阿桃…118F 11/04 02:12
→ g0428168: 然後啟動器啟動後那個瀏覽器自動去連了那個舊網域吧119F 11/04 02:13
推 WongTakashi: 今天才被註冊所以才沒2.3吧 但也只能認命去改密碼...120F 11/04 02:16
→ jorden0804: https://i.meee.com.tw/FY3oEJD.png 巴哈有人分享的121F 11/04 02:24
[圖]
推 taiwanstrike: 還好沒中 只好先改用手機解每日了122F 11/04 02:25
→ jorden0804: 看起來已經有人用這個漏洞開始改別人的登入器了123F 11/04 02:25
推 LittleJade: 一開始就把tbs browser封掉的人是不是可以安心124F 11/04 02:27
推 PekoKiara: 查了一下沒有 當初剛裝pc版覺得煩就看教學把啟動器右邊全封了125F 11/04 02:28
推 IronSkull: 幸好我很久以前就為了ACE的事情刪了PC版……127F 11/04 02:28
推 x8931139: 用pc版google play也算嗎 pc版的啟動器嗎？128F 11/04 02:31
推 Shine810316: 怕129F 11/04 02:32
→ yukitowu: NIKKE是企鵝的啟動器 Google Play我不確定前面引導是用甚麼做的 但如果有內嵌網頁就有風險130F 11/04 02:33
推 Fate1095: 看了一下已儲存密碼有400多組,這全要改不知得花多少小時132F 11/04 02:34
推 HellFly: 我只改有綁定信用卡的和常用的帳號，其他懶的改了133F 11/04 02:37
推 LittleJade: 還好我根本沒用chrome記密碼…134F 11/04 02:37
推 x8908945: 4週年特別活動  侵蝕135F 11/04 02:38
→ APOLOA: 讓你跟阿桃貼貼  先用移動裝置解每日好了 不感開pc了136F 11/04 02:40
推 g0428168: 本來要睡覺了  現在只能乖乖改密碼了137F 11/04 02:42
推 WongTakashi: 下次裝回PC版時我也要封內裝瀏覽器......
雖然很久以前就知道騰訊啟動器出過事 但後來沒再怎麼聽到出事後 有點怕但還是給他裝了 也沒特別封鎖....138F 11/04 02:43
推 away612101: https://i.meee.com.tw/p3SB8BY.jpg141F 11/04 02:46
[圖]
推 guogu: 把google密碼改了 其他的先放著 放假再說
如果有用安卓手機 他密碼會共用
就像我電腦chrome只是用來看推特小號 肥魚說我有72組密碼142F 11/04 02:47
推 xangro: tbs會佔cpu使用率老早就封了 真是好險145F 11/04 02:48
推 will30119: 幹咧 大半夜的還好睡前滑一下PTT 先改google密碼了其他明天再檢查146F 11/04 02:48
推 weiyilan: 檢查完沒事，乾脆順手把tbs封了148F 11/04 02:50
推 ahinetn123: 4周年騰訊送大禮149F 11/04 02:56
推 WongTakashi: 或是乾脆就改用PLAY PC版了 唉 當初就應該要用PLAY的150F 11/04 02:57
推 RanceTsai: 硬派寫實 玩著玩著電腦都被侵蝕了151F 11/04 02:57
→ WongTakashi: 雖然還不確定PLAY PC版也會不會有影響152F 11/04 02:58
推 errantry34: 幹 log還真有agent的執行紀錄 真的早該封掉那白癡tbs153F 11/04 03:09
推 brmelon: 還好我用linux目前看起來只有1應該沒事==154F 11/04 03:09
推 serding: 出大事！1有查到 2跟3沒有dll檔也找不到 總之先刪了：（155F 11/04 03:15
推 rogernl: 樓上我也是只有1但有人說只要有出現1資料可能就被盜走了156F 11/04 03:15
推 sdolphinyo: PC版 目前123都沒事157F 11/04 03:16
→ rogernl: 以防萬一還是先改google密碼158F 11/04 03:16
推 WongTakashi: 總之先改密碼 應該是不至於要到重灌電腦的地步159F 11/04 03:16
推 White77: 好險1 2沒事 暫時都不開電腦版妮姬了160F 11/04 03:18
推 rogernl: 而且我出現1的日期是1103，我猜可能是剛入侵但還沒盜google裡的儲存密碼所以沒出現2跟3？161F 11/04 03:18
推 WongTakashi: 話說巴哈有人重裝顯示驅動 這個真的會有影響嗎?163F 11/04 03:20
推 GBO5: 我先把桌面捷徑砍了 以免誤觸164F 11/04 03:20
→ WongTakashi: 樓上 對 我也是這樣猜想的
不過有1就是有中了 還是去把登入中的密碼全改比較好可惡 要是今天沒有七早八早就開PC版 搞不好有機會閃過......165F 11/04 03:20
推 MutsuKai: 幹169F 11/04 03:24
→ AirPenguin: 推特爬了一下只出現1的說法也是蠻多的
有人說是後門程式執行過又自行刪除了
也有人說是沒執行成功的170F 11/04 03:27
推 MutsuKai: 我就只出現1 昨天凌晨 煩死 要改密碼173F 11/04 03:28
→ AirPenguin: 還有人說他只挑偵測後有價值的才有後續23
沒在電腦上輸入支付資訊懶得改了 上百個網站密碼174F 11/04 03:29
推 rogernl: 我也只出現1，但出現1的情況就是看哪時候入侵的，好像有1176F 11/04 03:30
→ AirPenguin: 重要的網站大部分都有兩階段認證了177F 11/04 03:31
推 h60414: 台港澳還好都沒中 嚇死178F 11/04 03:31
推 rogernl: 0月中旬的179F 11/04 03:31
推 errantry34: 有1就代表已經執行過了 2,3只是代表他已經在chrome開好通道不開妮姬也能監聽 但已儲存的密碼可能在執行期間已經連去insightjs.com傳送完了
反正看到1就代表該改密碼了 不要僥倖180F 11/04 03:32
推 MutsuKai: 2、3沒有應該就登出改密碼就好不用重灌吧=ˇ=184F 11/04 03:43
推 Ahchooo: 回樓上，單純改密碼沒用；要按登出所有裝置，而且改密碼的電腦不要是現在這台185F 11/04 03:48
推 MutsuKai: 我用手機改吧 好幹187F 11/04 03:52
推 Aeryzephyr: 登出你最近曾登入的東西比較重要，改密碼用別的裝置改188F 11/04 03:53
推 Ahchooo: 這個時間點看到很絕望，又睏又不得不處理189F 11/04 03:56
推 x8931139: 前天才回鍋用google play pc版 結果1有 2.3沒有190F 11/04 04:04
推 black510113: 我google有兩階段驗證應該還好 除非他有辦法控制我手機191F 11/04 04:05
推 bitcch: 1就是有執行病毒過的痕跡了 2,3沒有是病毒內建有清理功能193F 11/04 04:06
推 WongTakashi: 什麼 PLAY PC版也有喔 那真的PC版暫時都別用了...194F 11/04 04:07

--
--
作者 jorden0804 的最新發文:
點此顯示更多發文記錄
(jorden0804.): [妮姬] 妮姬啟動器疑似被植入後門 - ACG板