El launcher de Goddess of Victory: NIKKE fue comprometido mediante una modificación maliciosa de sus archivos. El ataque podía instalar un programa de acceso remoto capaz de robar contraseñas, cookies de sesión, archivos privados y credenciales de diferentes servicios.
Lo que parecía un problema relacionado con un videojuego terminó convirtiéndose en un incidente de ciberseguridad mucho más preocupante. GODDESS OF VICTORY: NIKKE, el popular título desarrollado por SHIFT UP y publicado por Level Infinite, sufrió un ataque que comprometió los archivos de su launcher para PC, permitiendo que código malicioso pudiera ejecutarse en los equipos de algunos jugadores.
La situación comenzó a hacerse pública el 4 de noviembre de 2026, cuando el equipo de desarrollo confirmó que archivos del cliente de PC podrían haber sido manipulados por terceros. Sin embargo, una investigación independiente reveló que el problema podía ser mucho más serio: el código introducido en el launcher descargaba malware capaz de tomar el control de determinadas funciones del equipo.
Entre los datos que podían quedar expuestos se encontraban contraseñas, cookies de sesión, tokens de acceso, archivos personales e información de billeteras de criptomonedas. Esto también representaba un riesgo para cuentas de servicios externos, incluidos Steam, Discord y otros sitios en los que los usuarios tuvieran sesiones abiertas.
La investigación fue documentada por BleepingComputer, que confirmó la presencia de código malicioso en los archivos del launcher.
¿Cómo lograron comprometer el launcher de NIKKE?
De acuerdo con el análisis técnico publicado por el investigador independiente MotherSphere, el ataque estuvo relacionado con la modificación de archivos JavaScript alojados en la infraestructura CDN de Level Infinite.
Estos archivos forman parte del funcionamiento normal del launcher y se cargan cuando el usuario abre el cliente del videojuego. El problema es que algunos fueron modificados para incorporar instrucciones que descargaban componentes adicionales desde servidores controlados por los atacantes.
La investigación señala que la manipulación inicial ocurrió el 27 de septiembre de 2026, mientras que la distribución del programa malicioso habría comenzado a finales de octubre.
Esto convirtió el incidente en un ataque a la cadena de suministro de software: los jugadores no necesitaban descargar un archivo sospechoso desde una página externa, ya que el código malicioso llegaba a través de componentes utilizados por el propio launcher oficial.
Puedes consultar el análisis técnico en la investigación de MotherSphere sobre el compromiso del launcher de NIKKE.
El malware podía robar cuentas de Steam y otros servicios
Uno de los aspectos más preocupantes del incidente fue el alcance de las capacidades atribuidas al programa malicioso, identificado en la investigación como un agente de acceso remoto denominado K2F.
Este componente podía permitir a los atacantes ejecutar comandos, acceder a archivos y tomar capturas de pantalla del equipo comprometido. También se identificaron capacidades relacionadas con el robo de información almacenada en navegadores y otros servicios.
Entre los datos que podían quedar expuestos se encuentran:
- Contraseñas guardadas o introducidas en páginas web.
- Cookies de sesión utilizadas para mantener cuentas abiertas.
- Tokens de autenticación y claves de acceso.
- Archivos personales almacenados en el equipo.
- Claves SSH y credenciales de servicios.
- Información relacionada con billeteras de criptomonedas.
El robo de cookies de sesión resulta especialmente delicado porque puede permitir que un atacante acceda a determinadas cuentas sin conocer directamente la contraseña del usuario.
Por esta razón, las cuentas de Steam, Discord, Google y otros servicios utilizados desde un equipo comprometido podían quedar en riesgo.
Es importante aclarar que esto no significa que los servidores de Steam hayan sido hackeados. El peligro estaba en los equipos de los jugadores que ejecutaron el launcher comprometido y en las sesiones y credenciales que podían encontrarse en ellos.
Level Infinite confirmó el incidente y publicó una solución
Después de detectar las anomalías, Level Infinite confirmó que algunos archivos del launcher de PC habían sido manipulados por terceros.
La compañía informó que el 4 de noviembre implementó correcciones en el cliente y actualizó los archivos afectados para detener la distribución del código malicioso.
Posteriormente, publicó un comunicado más detallado y reconoció que los equipos y las cuentas de los jugadores podían haber estado expuestos a riesgos de seguridad.
Como parte de su respuesta, la compañía incorporó una herramienta de detección y eliminación de malware en el cliente oficial de PC, además de publicar instrucciones para realizar una revisión manual.
También recomendó cambiar las contraseñas de las cuentas utilizadas en los equipos potencialmente afectados y revocar las claves de acceso o tokens que pudieran haber estado almacenados en ellos.
Puedes consultar el comunicado oficial de Level Infinite sobre el incidente de seguridad.
¿Cómo saber si tu computadora fue afectada?
Level Infinite solicitó revisar los equipos que hubieran ejecutado el launcher de Windows desde el 27 de septiembre de 2026.
La compañía publicó un procedimiento de revisión manual que permite buscar indicios de ejecución del malware.
Uno de los archivos que deben revisarse es:
Launcher\intl_service\debug.log
Dentro de ese archivo se debe buscar la siguiente cadena:
k2f_chan registered
Si aparece, existe un indicio de que el programa malicioso pudo haberse ejecutado en el equipo.
La compañía también publicó instrucciones para revisar y eliminar archivos relacionados con el incidente, así como la caché local del launcher.
Es importante realizar la comprobación antes de volver a abrir el cliente, ya que algunas actualizaciones pueden eliminar registros que servirían para determinar si el equipo estuvo comprometido.
¿Qué deberían hacer los jugadores afectados?
Si utilizaste el launcher de NIKKE en PC durante el periodo señalado, conviene tomar precauciones adicionales:
- Realiza una revisión de seguridad siguiendo las instrucciones oficiales de Level Infinite.
- Ejecuta un análisis completo con Microsoft Defender u otro antivirus confiable y actualizado.
- Cambia las contraseñas de las cuentas utilizadas en el equipo, preferentemente desde otro dispositivo que sepas que está limpio.
- Cierra las sesiones abiertas en Steam, Google, Discord y otros servicios.
- Revoca y genera nuevamente los tokens, claves API o credenciales que pudieran haberse expuesto.
- Si encuentras indicios de infección, considera una reinstalación limpia de Windows después de preservar la información necesaria para investigar el incidente.
La compañía también aclaró que el problema estuvo limitado al launcher de PC y que la versión móvil no resultó afectada por este incidente.
Un incidente que deja en evidencia los riesgos de la cadena de suministro
El caso de NIKKE demuestra que incluso descargar un videojuego desde su fuente oficial no garantiza que todos sus componentes estén libres de riesgos si la infraestructura del proveedor resulta comprometida.
La situación también pone sobre la mesa la importancia de verificar la integridad de los archivos descargados, limitar los permisos de las aplicaciones y proteger las credenciales almacenadas en los navegadores.
Aunque Level Infinite ya implementó correcciones y herramientas de revisión, el incidente deja una pregunta importante para la industria: ¿qué tan seguros están los launchers que utilizamos diariamente para acceder a nuestros videojuegos?
Por ahora, la recomendación para los jugadores es no limitarse a actualizar el juego. Si utilizaron el launcher de NIKKE para PC durante el periodo afectado, también deben comprobar la seguridad de su computadora y proteger las cuentas que utilizaron en ella.
