Launcher Game NIKKE Diduga Dipakai Mencuri Data

Launcher Game NIKKE Diduga Dipakai Mencuri Data – Pemain game Goddess of Victory: NIKKE di Windows menjadi sasaran serangan rantai pasok (supply chain attack) setelah penyerang diduga menyusupi skrip pada PC launcher game tersebut.

Skrip yang telah dimodifikasi digunakan untuk mengunduh dan menjalankan kode berbahaya yang dapat mencuri kredensial akun, informasi browser, hingga data dompet kripto.

Pengembang NIKKE telah mengonfirmasi adanya indikasi perubahan tidak sah pada file skrip PC launcher oleh pihak ketiga. Melalui pengumuman di X, pengembang menyatakan telah menerapkan perbaikan dan pembaruan klien pada 4 November 2026 sekitar pukul 02.30 UTC+9. Investigasi mengenai cakupan dampak insiden tersebut masih berlangsung.

NIKKE merupakan game RPG tembak-menembak bertema fiksi ilmiah yang dikembangkan oleh Shift Up dan diterbitkan oleh Level Infinite.

Sejak diluncurkan pada 2022, game ini telah mencatat lebih dari 45 juta unduhan menurut informasi penerbitnya. Popularitas tersebut membuat insiden ini perlu mendapat perhatian, khususnya dari pemain yang menggunakan versi PC.

Skrip Launcher Menjadi Jalur Distribusi Malware

Berdasarkan analisis peneliti keamanan independen yang dipublikasikan melalui GitHub, serangan diduga melibatkan empat file JavaScript yang dihosting pada Content Delivery Network (CDN) resmi Level Infinite. File-file tersebut dilaporkan dimodifikasi pada 27 September 2026 untuk menyisipkan kode berbahaya.

Kode tersebut disamarkan di dalam skrip JavaScript yang tampak seperti bagian normal dari launcher. Setiap kali pemain membuka launcher, kode akan mencoba mengunduh komponen tambahan dari server yang dikendalikan penyerang.

Dua domain yang diidentifikasi dalam analisis tersebut adalah insightjs[.]com dan insightjs[.]org. Mekanisme pengunduhan menggunakan domain kedua sebagai alternatif apabila domain pertama tidak dapat diakses.

Pemeriksaan terhadap dua file JavaScript yang telah dimodifikasi juga menemukan adanya loader tersamarkan yang dirancang untuk mengambil dan menjalankan kode tambahan dari kedua domain tersebut.

Dengan menyisipkan kode ke dalam file yang berasal dari infrastruktur resmi, penyerang memanfaatkan kepercayaan pengguna terhadap launcher game yang sah.

Pola ini merupakan karakteristik serangan rantai pasok. Penyerang tidak harus menyerang setiap pemain secara langsung, tetapi cukup menyusupi komponen atau jalur distribusi perangkat lunak yang digunakan banyak pengguna.

Baca juga: BlackLotus Bobol Sistem Windows 11

Backdoor K2F Mampu Mengakses Perangkat Korban

Menurut analisis peneliti, kode yang diunduh memanfaatkan fungsi bawaan launcher untuk mengambil dan menjalankan payload LuaJIT bernama insight.bundle. Komponen tersebut kemudian memasang agen akses jarak jauh yang disebut K2F.

Backdoor ini memberikan kemampuan kepada penyerang untuk menjalankan sejumlah tindakan dari jarak jauh, antara lain:

Menjalankan perintah pada komputer korban.
Menelusuri dan mengunduh file lokal.
Mengambil tangkapan layar perangkat.
Mengumpulkan kredensial akun NIKKE.
Mengakses informasi yang tersimpan di browser.

Malware juga memiliki kemampuan tambahan untuk memasang file DLL Windows bernama platform_experience_helper.dll. Komponen ini dirancang agar tetap aktif meskipun launcher game telah ditutup. Dengan demikian, menutup aplikasi game saja tidak cukup untuk memastikan seluruh komponen berbahaya berhenti berjalan.

Temuan lain yang menjadi perhatian adalah kemampuan DLL tersebut untuk mengumpulkan informasi dompet kripto dari ekstensi browser. Sampel yang dianalisis mengandung fungsi yang berkaitan dengan MetaMask, Phantom, Coinbase Wallet, dan sejumlah dompet lainnya.

Informasi yang berpotensi diambil mencakup frasa pemulihan (recovery phrase) dan kunci privat (private key). Jika berhasil diperoleh, informasi tersebut dapat memberikan peluang bagi penyerang untuk mengambil alih dompet dan mengakses aset kripto korban.

Namun, hingga laporan diterbitkan, belum diketahui apakah komponen DLL tambahan tersebut benar-benar telah disebarkan ke perangkat pemain yang terinfeksi atau apakah ada aset kripto yang berhasil dicuri.

Kemampuan teknis yang ditemukan dalam sampel malware tidak dengan sendirinya membuktikan bahwa seluruh fungsi tersebut telah digunakan dalam serangan.

Pembaruan Launcher dan Indikator Infeksi

Peneliti melaporkan bahwa tiga dari empat file JavaScript yang terdampak telah diganti dengan versi bersih pada 3 November.

Namun, salinan yang telah dimodifikasi dari file keempat dilaporkan masih dapat diakses pada waktu tertentu setelah penggantian tersebut. Kondisi ini menunjukkan bahwa proses pemulihan infrastruktur distribusi perlu diperiksa secara menyeluruh.

Peneliti juga membagikan indikator kompromi (Indicators of Compromise/IoC) yang dapat digunakan pemain untuk memeriksa kemungkinan eksekusi agen Lua berbahaya.

Salah satu indikatornya adalah keberadaan teks berikut:

k2f_chan registered

Teks tersebut dapat ditemukan dalam file:

Launcher/intl_service/debug.log

File log berada di dalam direktori instalasi NIKKE. Jika entri tersebut ditemukan, hal itu mengindikasikan bahwa agen Lua berbahaya telah dijalankan. Namun, indikator ini tidak memastikan apakah DLL tambahan juga berhasil dimuat ke sistem.

Pemain juga perlu memahami bahwa peringatan keamanan yang ditemukan pada domain cadangan penyerang bukan merupakan pengumuman resmi dari penerbit game.

Karena pihak yang mengendalikan domain tersebut belum dapat dipastikan, informasi dari domain itu sebaiknya tidak diperlakukan sebagai sumber resmi.

Langkah yang Perlu Dilakukan Pemain

Untuk mengurangi risiko dan memeriksa kemungkinan kompromi, pemain NIKKE di PC dapat melakukan beberapa langkah berikut:

Ikuti pengumuman resmi pengembang. Pastikan pembaruan launcher dan instruksi pemeriksaan perangkat diperoleh dari situs atau kanal resmi NIKKE. Hindari mengunduh file perbaikan dari tautan yang tidak dapat diverifikasi.
Hindari menjalankan launcher sebelum statusnya dipastikan aman. Jika masih terdapat ketidakpastian mengenai integritas file, tunggu konfirmasi resmi bahwa perbaikan telah diterapkan secara menyeluruh.
Periksa indikator kompromi. Telusuri file Launcher/intl_service/debug.log pada direktori instalasi NIKKE untuk mencari entri k2f_chan registered. Temuan tersebut perlu ditindaklanjuti dengan pemeriksaan keamanan lebih lanjut.
Lakukan pemindaian menyeluruh. Gunakan antivirus yang telah diperbarui untuk memeriksa seluruh sistem, termasuk kemungkinan keberadaan file DLL atau komponen berbahaya lainnya.
Ganti kredensial dari perangkat bersih. Jika perangkat terindikasi terinfeksi, ubah kata sandi akun game, email, dan layanan lain yang mungkin terdampak menggunakan perangkat lain yang dipastikan aman. Cabut sesi login aktif jika tersedia.
Periksa keamanan dompet kripto. Jika dompet kripto pernah diakses melalui browser pada perangkat yang terinfeksi, periksa aktivitas transaksi dan pertimbangkan pemindahan aset ke dompet baru yang dibuat dari perangkat bersih. Jangan memasukkan frasa pemulihan atau kunci privat ke situs yang mengaku menyediakan layanan pemeriksaan.
Pertimbangkan instalasi ulang Windows. Jika kompromi telah terkonfirmasi, instalasi ulang sistem operasi menjadi langkah pemulihan yang disarankan dalam laporan. Pastikan data penting diperiksa terlebih dahulu agar file berbahaya tidak ikut dipulihkan.

Insiden NIKKE memperlihatkan bahwa perangkat lunak resmi dan infrastruktur distribusinya dapat menjadi jalur penyebaran malware apabila komponen di dalamnya berhasil dimanipulasi.

Dalam serangan rantai pasok, pengguna bisa menjalankan kode berbahaya tanpa menyadari bahwa aplikasi yang mereka percaya telah disusupi.

Karena itu, keamanan tidak cukup hanya bergantung pada reputasi pengembang atau sumber unduhan resmi. Integritas pembaruan, pemantauan komponen aplikasi, dan respons cepat terhadap indikasi kompromi tetap diperlukan untuk melindungi perangkat serta informasi sensitif pengguna.