『勝利の女神：NIKKE』のプレイヤーに対し、PCの確認を呼びかける声が上がっています。攻撃者が、ゲームのWindows版ランチャーで使われるファイルを改ざんしたためです。ランチャーを開くだけで不正なソフトウェアが実行される恐れがあり、被害はゲームアカウントにとどまらない可能性があります。
今回の事案はサプライチェーン攻撃にあたります。これは、対象企業が利用するサービスやソフトウェアを侵害する手口です。攻撃者は偽のゲームをダウンロードさせたり、怪しいアドオンをインストールさせたりする代わりに、正規のランチャーが利用するリソースを侵害しました。そのため、プレイヤーは信頼している既存のソフトウェアを開くだけで、脅威に遭遇する可能性がありました。
ゲームのパブリッシャーであるLevel Infiniteは、修正を公開し、公式PCクライアントにマルウェア確認機能を追加しました。ただし、配布経路を修正しても、すでに起きた感染は解消されません。盗まれたパスワードなどの情報も取り戻せません。
独立系研究者のMotherSphere氏は、Level Infiniteの公式コンテンツ配信ネットワーク（CDN）上にある4つのJavaScriptファイルから、悪意のあるコードを特定しました。
公表されている時系列には食い違いがあるため、注意が必要です。Level Infiniteは、不正プログラムの配布開始を10月30日としています。一方、MotherSphere氏は、遅くとも10月23日にはリモートコントロール型エージェントが動作していた証拠があると報告しています。
研究者の分析によると、配布されたリモートコントロール型エージェントは、次のコマンドに対応していました。
- プログラムやシステムコマンドの実行
- フォルダの閲覧とファイルのダウンロード
- スクリーンショットの取得
- 保存されたNIKKEのログイン認証情報の取得
- ブラウザのパスワードとCookieの収集
- 開発者向け認証情報、APIトークン、その他のシークレットの探索
- 暗号資産ウォレット拡張機能のデータ収集
侵害されたPCの台数や、データが盗まれた範囲の全容は、まだ明らかになっていません。
身を守るための対策
Level Infiniteによると、モバイル版のみを利用しているプレイヤーは影響を受けません。追加のセキュリティ対策は不要です。
Level Infiniteは、11月4日の早朝に3つの異常なスクリプトファイルを差し替えたと説明しています。同日中に、残る1つのファイルについてもCDNのキャッシュを更新しました。その後、MotherSphere氏は、確認した4つのCDNサーバーで4ファイルすべてが正常な状態になったと報告しています。
上記の期間中にWindows版ランチャーを開いた場合は、次の手順を実施してください。
- ランチャーを閉じ、PCを検査する。MotherSphere氏のレポートには、この攻撃に関連する痕跡について、ユーザーから寄せられたMalwarebytesの検出報告が含まれています。
- NIKKEが公開している削除手順に慎重に従う。
- クリーンなデバイスからアカウントを保護する。侵害されたままの可能性があるコンピュータでは、パスワードを変更しない。
- 暗号資産ウォレットやそのリカバリーフレーズが漏えいした可能性がある場合は、クリーンなデバイスを使い、新しいリカバリーフレーズで新規作成したウォレットに資産を移す。
- Level Infiniteは、被害に遭ったと考えるプレイヤーに、カスタマーサポートへの連絡を求めています。外部アカウントの不具合や金銭的損失が生じた場合も同様です。関連する記録は保管し、個人情報は渡さないようにしてください。
なお、NIKKE wikiの非公式クリーンアップガイドでは、Malwarebytesでのスキャンを推奨しています。このガイドは1回限りの無料オプションと説明していますが、Malwarebytes Freeなら、Premiumのトライアル終了後も、手動スキャンと検出したマルウェアの削除を続けられます。トライアルでは、リアルタイム保護などの追加機能も使えます。ご自身に合った方法を選んでください。
脅威の報道から、脅威の駆除まで。
サイバーセキュリティのリスクは、見出しの中だけにとどめておくべきです。今すぐMalwarebytesをダウンロードして、お使いのデバイスから脅威を遠ざけましょう。
