Атака на цепочку поставок в играх обычно выглядит как подменённый установщик на стороннем сайте. Здесь хуже: изменённые файлы раздавались через официальную инфраструктуру, а вредоносная логика была спрятана внутри легитимных JavaScript-файлов и обфусцирована.
Схема такая: скрипт обращается к инфраструктуре на insightjs[.]com и insightjs[.]org, а оттуда подтягивает полезную нагрузку. Та, в свою очередь, ставит удалённого агента K2F, который умеет выполнять команды, делать скриншоты и собирать учётные данные. Для игрока это означает не «слетел аккаунт в игре», а компрометацию браузерных паролей, сессий и криптокошельков.
Хронология
3 ноября три подменённых файла вернули на место, но четвёртый изменённый файл, по данным исследователей, всё ещё отдавался с CDN по состоянию на 22:26 GMT. Разработчики подтвердили факт подмены скриптов 4 ноября.
Что делать
Если лаунчер запускался 2–4 ноября, считайте машину потенциально заражённой. Смените пароли от игровых и почтовых аккаунтов, разлогиньте активные сессии, проверьте криптокошельки и расширения браузера. Из явных следов исследователи называют строку k2f_chan в файле Launcher/intl_service/debug.log.
Дальше — обычная гигиена: не хранить на игровом ПК рабочие токены и кошельки, запускать клиенты игр в отдельном профиле и не считать «официальный лаунчер» гарантией безопасности. Обновление игры — это тоже код, который выполняется с вашими правами.
A gaming supply-chain attack usually looks like a swapped installer on a third-party site. This one is worse: modified files were served through official infrastructure, and the malicious logic was hidden inside legitimate JavaScript and obfuscated.
The scheme: the script contacts infrastructure at insightjs[.]com and insightjs[.]org and pulls a payload from there. That payload installs the K2F remote-access agent, which can run commands, take screenshots and harvest credentials. For a player this does not mean “my game account got hacked” but compromised browser passwords, sessions and crypto wallets.
Timeline
On 3 November three tampered files were swapped back, but a modified fourth file was, according to researchers, still being served from the CDN as of 22:26 GMT. The developers confirmed the script tampering on 4 November.
What to do
If the launcher ran between 2 and 4 November, treat the machine as potentially infected. Change game and email passwords, sign out active sessions, check crypto wallets and browser extensions. As for concrete traces, researchers point to the string k2f_chan in Launcher/intl_service/debug.log.
Beyond that, ordinary hygiene: do not keep work tokens or wallets on a gaming PC, run game clients in a separate profile, and do not treat an “official launcher” as a security guarantee. A game update is code that runs with your privileges.