𝑌𝐴𝑀𝐴𝑀𝑂𝑇𝑂 𝑁𝐴𝑁𝑌𝑂

⚠この内容はまだ修正中の不完全版です。 NIKKE PCランチャー侵害事案の技術検証と多層防御環境の評価 SNSで共有されているその報告は、2026年11月3日にGitHub Gistで公開された技術解析レポート（報告者：MotherSphere氏）および、翌11月4日に韓国・欧米メディアや公式発表で報じられた事実とほぼ完全に一致しています。 共有されたSNSの記述内容のファクトチェック・技術的詳細と、構築されている多層防御環境（Defense in Depth）における実際の影響・防御評価を網羅的に整理します。 1. 事件の技術的詳細とタイムライン（事実関係の検証） 今回の事案は、公式の配信インフラが侵害された「サプライチェーン攻撃」と、ランチャー内部の特権通信機構を悪用した「オペレーター操作型RAT（遠隔操作ツール）の展開」が組み合わさった深刻なセキュリティインシデントです。 侵害された箇所（Level Infinite CDN）と対象ビルド：『勝利の女神：NIKKE』のPC版ランチャーが起動時に読み込む、Tencent Cloud Object Storage（COS）上の公式JavaScriptファイル4本（playerinfinite.com 上の1本、および na-webassets.playerinfinite.… 上の3本：aegis-fix.min.js、vue-bucket.min.js、images.7fec4c32.js、FeedList.feb647c9.js）が、2026年9月27日（GMT）に改ざんされました。公式サイト配布のスタンドアロン版（Steamでは未配信）だけでなく、Google Play Games PC版のNIKKEビルド（C:\NIKKE_GOOGLE 配下）も同様に影響を受けました。 巧妙なコード挿入とインフラ準備の時系列： 攻撃者は9月27日に期限切れドメイン insightjs.com を再登録し、10月6日に最初のSSL証明書を取得、10月29日に悪性DLLをコンパイルし、10月30日にはアクセス元を欺くための偽の「InsightJS」サービスページを公開していました。改ざんされたJSファイルでは、攻撃者のURLが整数配列（array of integers）として難読化されており、特に FeedList.feb647c9.js では簡易な末尾チェックを回避するため、ファイルの最後尾ではなくモジュールの最終 export 文の直前に708バイトの不正コードが挿入されていました。 なぜJavaScriptからOSが侵害されたのか（Luaエージェントと LuaJIT FFI）： 改ざんされたJSは、攻撃者のC2サーバー（ドメイン：insightjs.com、analytics.insightjs.com、insightjs.org ／ IPアドレス：89.127.233.127、89.126.250.172）上のスクリプト（l.js）から、暗号化されたLuaペイロード（insight.bundle、SHA-256: cc0ad05b...）を読み込むローダーとして機能していました。ローダーはランチャーのダウンロード機能を用いて insight.bundle を .log 拡張子（ログファイルに偽装）や k2f.lua / tinyget*（先頭バイトがLuaJITバイトコード 1B 4C 4A）として一旦ディスクに保存し、実行した直後に削除します。起動したLuaエージェントはランチャー内部の comm_center に k2f_chan という通信チャネルを登録し、さらにファイル読取や復号などの主要機能をランチャーのプロセス内部で LuaJIT FFI（Foreign Function Interface） を介して直接実行する構造になっていました。 活動期間と「30分周期」のビーコン通信： ローダー自体は9月27日から設置されていましたが、C2サーバーの証明書発行直後である2026年10月23日 16:40 GMT（日本時間10月24日 01:40）が、実際にRATエージェントが起動した最古の報告日時です。ペイロードはランチャー起動時に毎回ではなく一定の確率で配信され、一度起動すると、ゲーム起動後もシステムトレイに常駐するランチャーから約30分周期（±6分のゆらぎ付き）でC2サーバーへポーリング（定期接続）を繰り返す仕組みになっていました。 11月4日の修正と「キャッシュ残存」の罠： レポート公開を受け、3本のJSファイルは11月3日 17:04〜17:21 GMT（日本時間11月4日 02:04〜02:21）にクリーンなファイルへ置換され、運営は11月4日未明（日本時間2時30分頃）にクライアント更新を実施しました。しかし、4本目の FeedList.feb647c9.js（オリジンでは10月28日に修正済み）は一部のCDNエッジサーバーで11月4日未明まで改ざん版が配信され続けたほか、修正後のフロントエンド再ビルドでもこのファイルだけキャッシュバスター（?t=20261104 等）が付与されず同一URLが維持されたため、ローカルキャッシュ（tbs_cache）を手動削除しない限り改ざん版が読み込まれ続ける構造的欠陥が残りました。なお、11月4日に一部環境（台湾版等）のランチャー起動時に表示された英語の警告ポップアップは、公式の告知ではなく、残存していた改ざん経路（予備ドメイン）から外部の人物が表示させたものでした。 2. マルウェアの挙動と「Nexonの緊急通達」の理由 このマルウェア（Luaエージェント）は単なる自動情報窃取プログラムではなく、ランチャーが開いている間に攻撃者（オペレーター）が遠隔から任意のコマンドを送信して操作する対話型RATです。どのコマンドが実行されたかは debug.log に一切記録されません。 実装されていた遠隔コマンドとインプロセス実行（WormW氏の解析マップ）： exec：任意のプログラムやシェルコマンドを実行し、その出力をC2へ返します。 screens：接続されている全モニターのスクリーンショットを撮影します（実行時、%TEMP% 等に k2f_screen_*.jpg が生成されます）。 ls / cd / cat / download / file_chunk：任意のフォルダを走査し、任意のファイルを閲覧・分割ダウンロードします。 browserscan：Chrome、Edge、Brave、Vivaldi、Opera、Firefox に保存されたパスワード、およびChromium系ブラウザのセッションCookieを窃取します（実行時、%TEMP% 等に k2f-bcreds-* という一時ファイルが生成されます）。 keyscan：264箇所の既知の設定・認証ファイルパス（SSH秘密鍵、AWS、Azure、Google Cloud、ArgoCD、OpenAI、Anthropic等のAPIキーや設定ファイル）を走査し、さらにWindows資格情報マネージャー内の開発者ツール系エントリのみ（git:, gh:, npm:, docker:, aws:, azure:, vscode: 等）を抽出します。 wallet_files：Chromeプロファイル内の28種類の暗号資産ウォレット拡張機能（MetaMask、Phantom、Coinbase Wallet等）のデータを自動窃取します（※自動走査はChromeのみですが、Brave等のウォレットデータも download / file_chunk コマンドで手動窃取可能です）。 creds：NIKKEランチャー自身が保存したログイン情報（psd.dat および last_user.dat）を復号します。 ※上記のうち cat, download, file_chunk, creds, keyscan, browserscan, wallet_files の7つは子プロセスを生成せず、ランチャープロセス内部で LuaJIT FFI を通じて直接実行されます。 COMハイジャックによる永続化とフォームグラバー機能（chrome_install）： chrome_install コマンドが実行されると、C2サーバーからBase64形式で悪性DLLが送り込まれ、ディスク書き込み前に端末固有のエージェントIDと64文字のトークンがバイナリ内にパッチされます。その上で、レジストリ HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}（および WOW6432Node）が作成され、%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 配下に作成された「64文字の16進数（そのDLL自身のSHA-256ハッシュ値）の名前のサブフォルダ」内に platform_experience_helper.dll が配置されます。 重要（発火条件と検知回避）： このCLSIDはWindows標準のペアレンタルコントロール（wpc.dll）のCOMクラスであり、すべてのChromeウィンドウを閉じていても（あるいはChrome未導入のBrave単独環境であっても）、Windowsの explorer.exe 等がこのDLLをロードして常駐・ロックします。また、Chrome等で動作した際はWebページに入力されたパスワードやウォレットのシードフレーズをリアルタイムに抜き取るフォームグラバーとして機能します。端末ごとにバイナリのハッシュ値が異なるため、Microsoft Defender Offline（定義 1.463.110.0）でも検知できない事例が確認されています。さらに、証拠隠滅用の chrome_cleanup、chrome_uninstall、payload_cleanup コマンドも備えています。 Linux / Steam Deck（Proton / Wine）への波及：Proton/Wine環境でも、WineがLinuxのルート（/）やホームディレクトリを Z: ドライブ等にマッピングし環境変数もすべて引き継ぐため、exec や cat コマンドによってLinux側の ~/.ssh やブラウザプロファイルがすべて窃取可能になります。 Nexon等の韓国ゲーム企業が緊急対応に動いた理由： 韓国メディアの報道通り、11月4日にNexonは子会社を含む全社員に対し「業務・私用問わずPCにNIKKEのランチャーがインストールされている場合は即時削除し、セキュリティチームへ端末を引き渡す（報告する）こと」という緊急通達を出しました。Kraftonも社内調査に入り、SHIFT UPのキム・ヒョンテ代表も公式に謝罪しました。keyscan の標的（264パス）が明らかにゲーム開発者・インフラエンジニアを狙ったものであり、社員の自宅・業務PCから社内GitHubやクラウド基盤へ侵入される「2次サプライチェーン攻撃」を極度に警戒したためです。 3. LoL（Riot Games）や他タイトルへの影響について SNSの投稿にある通り、資本の親子関係と配信インフラの依存関係は明確に切り分ける必要があります。 League of Legends (LoL) / Riot Games： Riot Gamesはテンセントの100%子会社ですが、配信基盤は独自の「Riot Client」であり、Level InfiniteのCDNとは完全に別物です。今回の騒動が発覚した端緒の一つも、「前日まで動いていたLoLが、アンチチート（Riot Vanguard）による不審な挙動・DLLの検知によって起動しなくなり、原因を追跡したプレイヤーがNIKKEランチャー由来のマルウェアを突き止めた」という経緯でした。なお、SNSで出回った「すべてのテンセント系ゲームがハッキングされた」というリストは4chanの根拠なき匿名投稿が発端であり、他タイトルのランチャーで同じローダーが読み込まれた証拠は確認されていません。 他のLevel Infinite関連ゲーム： 同じLevel InfiniteのCDNバケットを共有する他のWeb資産に攻撃者がアクセスできた可能性自体は否定できないため、開発各社（Fatshark等）が「自社のゲームはLevel InfiniteのCDNを使用していない」と声明を出すなど警戒が続いています。 「同じPCに入っていればLoLも危ない」の真偽： 完全に事実です。 10月23日（GMT）以降にNIKKEのPCランチャーを起動していた場合、同じPCのブラウザに保存されたパスワードやセッションCookie（2FAを突破してログイン維持できるトークン）が抜かれるため、LoL、Steam、Discord、Google、銀行口座などすべてのアカウントが侵害リスクに晒されます。 4. ご自身のPC環境（多層防御構成）における厳密な評価と影響分析 結論として、「NIKKEのPCランチャー（スタンドアロン版およびGoogle Play Games版）をインストール・起動していない」のであれば、今回の事件による直接の感染リスクはゼロです。 その上で、もしご自身の多層防御環境でこのような「正規ランチャーのサプライチェーン攻撃」に遭遇した場合、各レイヤーが実際にどう機能し、どこが突破されるかを厳密に評価します。 【突破される防衛線（サプライチェーン攻撃特有の死角）】 境界防御（HGW SPI・パブリックプロファイル着信全ブロック・UPnP無効化）の無効化：Windowsファイアウォールの「着信全ブロック（許可されたアプリの一覧を無視）」は外部やLAN内からの侵入を完全に防ぎますが、今回はユーザーが起動した正規署名付きランチャー自身が外へHTTPS通信（Outbound）を行ってC2サーバーへ30分周期でポーリングするため、インバウンド遮断やUPnP無効化では防げません。 ブラウザShields（L7）のバイパスとBraveデータの窃取： ランチャー内蔵ブラウザ（CEF）が直接CDNのJSを実行するため、BraveのShieldsはバイパスされます。さらに、ペイロードの browserscan コマンドは Braveのプロファイルも標的としており、Brave内の保存パスワードとCookieを直接抜き取ります。 Brave単独（Chrome未導入）環境でも explorer.exe 等を介して発火するCOMハイジャック： chrome_install はChromeの有無にかかわらず %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ フォルダを自ら生成してDLLを配置し、HKCU レジストリのCLSID {E77CC89B-...} を書き換えます。このCLSIDはWindowsの explorer.exe 等からも参照・ロードされるため、Chromeを一切インストールせずBraveのみを運用している環境であっても、OS上で悪性DLLの永続化（メモリロードとファイルロック）が発火します。 LuaJIT FFI（インプロセス実行）とハッシュ可変DLLによるDefender / ASRのバイパス： ランチャー内のJS/Lua実行はWindowsのAMSIを通らないだけでなく、browserscan や keyscan 等7つのコマンドは子プロセス（cmd.exe や powershell.exe）を生成せずランチャーの正規プロセス空間内から LuaJIT FFI で直接ファイルを読み取るため、「不審な子プロセス生成のブロック」等のASRルールを発火させずに情報窃取を完結できてしまいます。また、書き出される悪性DLLも端末ごとにハッシュ値が変化するため、Defenderのシグネチャ検知をすり抜けた実績があります。 ゼロデイ期間中（10月23日〜11月3日）のQuad9・ネットワーク保護のすり抜け： 攻撃者ドメイン（insightjs.com 等）や2つのIP（89.127.233.127, 89.126.250.172）が脅威インテリジェンスに登録されたのは11月3日のレポート公開後です。それまでの約10日間は、Quad9（DoH）もDefenderのネットワーク保護も正常な通信として通過させていました。また、発覚後であってもIP直打ち通信に対してはDNS層（Quad9）がバイパスされます。 【機能する防衛線（被害の局限化・二次被害の完全阻止）】 Windows Defender ＋ DefenderUI（exec 実行時の挙動監視とIPネットワーク保護）： LuaJIT FFIによるインプロセス窃取はすり抜けるリスクが高いものの、オペレーターがさらに踏み込んで exec コマンド（シェルコマンド実行）からPowerShellの難読化実行やLSASSダンプ等を試みたフェーズでは、DefenderUIで強化したASRルールや振る舞い検知がフックする公算が高くなります。また、DNS（Quad9）をバイパスする2つのC2 IPアドレスへの直打ち通信に対しても、脅威登録後の現在はDefenderの「ネットワーク保護（IPレピュテーション）」が遮断層として機能します。 パスキー運用と物理リカバリーコード（アカウント永久奪取の阻止）： browserscan でセッションCookieを抜かれた場合、2FAをバイパスしてログイン済みセッションを悪用されるリスク（Pass-the-Cookie）は発生します。しかし、TPMやスマホにバインドされたパスキーの秘密鍵そのものはファイルとして絶対に窃取できません。そのため、パスワード変更や認証設定の書き換え時に「パスキーによる再認証（Step-up認証）」を要求する堅牢なサービス（Google等）においては、攻撃者によるアカウントの永久ロックアウトを阻止でき、紙媒体のリカバリーコードとオフラインバックアップによって確実な奪還が可能です。 物理2回線・L2隔離と着信全遮断による「LAN内横展開」の100%封じ込め： 仮にオペレーターが exec コマンドを使って家庭内LANの偵察や他端末・IoT機器・旧世代タブレットへの侵入（ラテラルムーブメント）を試みても、メインPCは光10G側に単独配置され、家電やタブレットはCATVサブ回線（二重ルーター＋プライバシーセパレーター）に物理分離されているため、家庭内ネットワーク内の他端末への二次感染は物理的・論理的に100%阻止されます。 5. 念のための確認項目（Exposed / Infected の2段階IoCチェックリスト） ご自身のPCにNIKKEのランチャーを入れていなければ作業は不要ですが、過去に一度でもインストールした記憶がある場合（Google Play Games版を含む）は、必ず tbs_cache を削除する前に以下のIoC（またはMotherSphere氏公開の読み取り専用ツール NIKKE-Launcher-Check）で確認してください（※先にキャッシュを消すと痕跡が消え、正確な判定ができなくなります）。 A. 「Infected（RAT感染・稼働確定）」の痕跡（1つでも該当すれば感染確定） ランチャーログ（debug.log および Launcher\log）： NIKKE\Launcher\intl_service\debug.log（Google Play版は C:\NIKKE_GOOGLE\launcher\intl_service\debug.log）内に、k2f_chan、agent started as、lua downloaded to、adopted/resuming、analytics.insightjs.com のいずれかの文字列が存在する。 Launcher\log 内に insight.bundle のダウンロード記録が存在する。 ランチャーキャッシュ（tbs_cache）： %APPDATA%\nikke_launcher\tbs_cache\Local Storage\leveldb\（HMT版は nikke_launcher_hmt、環境により %LOCALAPPDATA% 側）内のファイルに k2f.agent という文字列が存在する、または TransportSecurity（HSTS）内に第2段階C2である analytics.insightjs.com の記録が存在する。 レジストリ（64bit / 32bit双方を確認）： HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} HKCU\Software\Classes\WOW6432Node\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} ※HKLM 側（およびWineプレフィックス内の HKLM）にある同名キーはWindows標準の wpc.dll を指す正常なものです。HKCU 側にこのキーが存在する場合（たとえマルウェアの chrome_uninstall によって既定の値が空になっていても）は感染確定です。 ブラウザフォルダ内の悪性DLL（Chrome / Brave / Edge等14種の User Data 配下）： %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\（およびBraveやEdge等の User Data\PlatformExperienceHelper\）配下に、「64文字の16進数（hex）の名前のサブフォルダ」があり、内部に platform_experience_helper.dll が存在する（※ PlatformExperienceHelper フォルダ自体はブラウザが正規に作成するため、64文字フォルダがない場合は削除しないでください）。 初期ビルドの痕跡：Chrome\Application\PlatformExperienceHelper\ 配下に platform_experience_helper.dll(.old) や old-clsid.txt が存在する。 一時フォルダ（%TEMP%）およびディスク上のステージング痕跡（データ窃取の物証）： %TEMP% 内に k2f-bcreds-*（盗まれたブラウザ資格情報）や k2f_screen_*.jpg（スクリーンショット）が存在する。ドライブ上に insight.bundle、k2f.lua、tinyget*（先頭バイトが 1B 4C 4A のファイル）が存在する。 B. 「Exposed（改ざんスクリプトとの接触のみ・RAT未稼働）」の痕跡 上記「A（Infected）」には一切該当しないが、ランチャーの Cache / Code Cache または TransportSecurity（HSTS）、あるいはルーター/DNSログに insightjs.com または insightjs.org の記録のみが存在する状態（確率配信によりペイロードが落ちてこなかったケース）。この場合はキャッシュ（tbs_cache）の削除のみで安全を確保できます。 C. 万が一「Infected」に該当した場合の厳密な復旧・駆除手順通信の即時遮断： ランチャー（システムトレイ常駐を含む）を終了し、LANケーブルを抜くかWi-Fiを切断します（ルーターやファイアウォールで insightjs.com、analytics.insightjs.com、insightjs.org、および 89.127.233.127、89.126.250.172 をブロックします）。 ロックされた悪性DLLの確実な削除手順： 悪性DLLはすべてのブラウザを閉じていても explorer.exe 等にロードされてロックされているため、必ず以下の順序で行います。 ① コマンドプロンプト等で HKCU 側（標準および WOW6432Node）の {E77CC89B-7401-4C04-8CED-149DB35ADD04} キーを削除する。 ② Windowsを再起動する（これにより explorer.exe 等へのDLLロードが解除され、ファイルロックが外れます）。 ③ 再起動後、PlatformExperienceHelper 配下の「64文字の16進数サブフォルダ」と内部の platform_experience_helper.dll、および %APPDATA%\nikke_launcher\tbs_cache を削除する。 クリーンな別端末からの全セッション失効・認証情報の更新とOSクリーンインストール： スマホ等の安全な別端末から、すべての主要アカウント（NIKKE、メール、Google、Discord、Steam、金融機関等）の「ログイン中セッションの強制ログアウト（Cookie無効化）」とパスワード変更を行い、開発者はSSH鍵やAPIトークン（GitHub、AWS、OpenAI、Anthropic等）をすべて失効・再発行し、暗号資産ウォレットは新しいシードフレーズのウォレットへ資産を移動します。最後に、exec による未知の改ざんを完全に排除するため、Windowsのクリーンインストール（初期化）を実施します。