NIKKE: تعديل سكربتات مشغّل الحاسوب على CDN وخطر برمجيات خبيثة

تسلسل الأحداث

بحسب رواية المشغّل، جرى الاستيلاء في 27 سبتمبر عند 10:59 على النطاق insightjs.com المستخدم في جزء من خدمات اللعبة. وفي اليوم نفسه، قرابة 15:41، عُدّلت أربعة ملفات سكربت يحمّلها المشغّل من شبكة CDN الرسمية، وأُضيف إليها كود يتصل بنطاق محدد. وبدأ توزيع البرنامج الخبيث عبر هذه السكربتات في 30 أكتوبر عند 3:52.

ولاحظ الفريق الخلل في 4 نوفمبر قرابة منتصف الليل. وبين 2:04 و2:23 استُبدلت ثلاثة ملفات خبيثة لوقف التوزيع، وفي 12:09 اكتمل تحديث ذاكرة CDN المؤقتة للملف الرابع. والمشغّل المصحَّح متاح الآن. ولم يكشف الفريق تفاصيل البرنامج، لكن الباحث MotherSphere، الذي أثار المشكلة قبل الإعلان، قال إن السكربتات تجلب برنامجًا يُدعى «K2F» يمكنه التحكم بالحاسوب عن بُعد وسرقة كلمات المرور.

ما المطلوب من اللاعبين

يُطلب من كل من شغّل مشغّل ويندوز ولو مرة بعد 27 سبتمبر (15:41) فحص جهازه. وقد أضيفت منذ 5 نوفمبر إلى عميل الحاسوب ميزة في نظام ACE من Tencent تكشف هذا البرنامج وتحذفه، مع ضرورة إغلاق المتصفحات مثل Chrome بالكامل قبل الفحص، وإلا قد يتعذر حذف بعض الملفات. وتوجد طريقة يدوية معقدة لمن لم يثبّت المشغّل، وظهور العبارة «k2f_chan registered» في سجل المشغّل يعني احتمال تنفيذ البرنامج الخبيث.

بعد التنظيف، ينبغي تغيير كلمات مرور الحسابات التي استُخدمت على الجهاز، وإلغاء مفاتيح API ورموز الوصول المخزنة وإعادة إصدارها، ثم إجراء فحص كامل بمضاد الفيروسات وفحص Microsoft Defender دون اتصال. ويُفضّل تنفيذ ذلك من جهاز تم فحصه أو غير متأثر.

وسيحصل اللاعبون على هدايا داخل اللعبة، ومن لاحظ نشاطًا غير طبيعي في حسابات خارج اللعبة أو تعرّض لخسارة مالية فعليه مراسلة خدمة العملاء. ويتحقق الفريق من كيفية تعديل الملفات ونطاق الأثر، ويعد بتعزيز المراقبة والتحقق من سلامة الموارد الخارجية وتقليص صلاحيات وظائف المشغّل. وتباينت ردود الفعل بين انتقاد بطء الإعلان وتعاطف مع المشغّل.