Seguridad5 nov 2026, 22:32 UTC·2 min de lectura

NIKKE: el lanzador de PC, afectado por scripts alterados en CDN

Los responsables de NIKKE admiten que un tercero alteró scripts del lanzador de Windows y que pudo ejecutarse malware al abrirlo. Piden analizar el PC y cambiar contraseñas.

A gaming PC screen showing a game launcher window with a security warning overlay. — Imagen: ITmedia NEWS

El equipo operador del juego de disparos y rol NIKKE: Goddess of Victory anunció el 5 de noviembre que un tercero alteró algunos scripts del lanzador de PC, por lo que pudo ejecutarse un programa malicioso cada vez que se abría. El equipo pidió disculpas a los jugadores.

NIKKE lo desarrolla la surcoreana SHIFT UP y lo distribuye a escala global la marca Level Infinite de Tencent. La disculpa se publicó en la cuenta oficial de X a nombre del equipo de Level Infinite, no de SHIFT UP. Los operadores no han detallado el programa. El investigador externo MotherSphere, que había alertado antes del anuncio, informó de que los scripts alterados instalaban un programa llamado «K2F», capaz de controlar un PC de forma remota y robar contraseñas.

Cronología

Según los operadores, el dominio insightjs.com, usado en parte del servicio, fue secuestrado el 27 de septiembre a las 10:59 (hora de Japón). Hacia las 15:41 de ese día se alteraron cuatro scripts que el lanzador carga desde el CDN oficial, con código que conecta con un dominio concreto. La distribución de programas maliciosos por esa vía comenzó el 30 de octubre a las 3:52.

El equipo detectó la anomalía hacia la medianoche del 4 de noviembre. Entre las 2:04 y las 2:23 sustituyó tres archivos y a las 12:09 terminó de actualizar la caché del CDN del cuarto. Hacia las 2:30 distribuyó un lanzador corregido. Aún investiga cómo se produjo la alteración y el alcance del impacto.

Qué deben hacer los jugadores

Quien haya abierto el lanzador de Windows al menos una vez desde el 27 de septiembre a las 15:41 debe revisar su equipo. Desde las 8:00 del 5 de noviembre, el módulo ACE (Anti-Cheat Expert) de Tencent, integrado en el cliente de PC, detecta y elimina el programa. Antes hay que cerrar por completo navegadores como Chrome; de lo contrario, algunos archivos podrían no borrarse. Existe una guía manual, bastante compleja, para quienes no tengan el lanzador; si el registro muestra «k2f_chan registered», el programa pudo ejecutarse.

Después conviene cambiar las contraseñas desde un dispositivo seguro, revocar y reemitir claves API y tokens de acceso, y hacer un análisis completo con antivirus y otro sin conexión con Microsoft Defender. Como disculpa se entregarán objetos del juego; ante anomalías en cuentas o pérdidas económicas, se debe contactar con soporte.

Entre las medidas futuras figuran más monitorización, verificación de integridad de los recursos externos y permisos mínimos para las funciones del lanzador. Japón aporta el 48,3 % de los ingresos, el mayor país según Sensor Tower (mayo de 2026). En X hay críticas por la lentitud informativa y compensación insuficiente, aunque otros comprenden al operador.