昨天晚上九点多，我玩了会，今天早上看到 NGA 帖子 https://ngabbs.com/read.php?tid=47843502&rand=118，回头翻日志，一看幸运中招了，真是倒霉，麻了啊 https://ngabbs.com/read.php?tid=47843502&rand=118%EF%BC%8C%E5%9B%9E%E5%A4%B4%E7%BF%BB%E6%97%A5%E5%BF%97%EF%BC%8C%E4%B8%80%E7%9C%8B%E5%B9%B8%E8%BF%90%E4%B8%AD%E6%8B%9B%E4%BA%86%EF%BC%8C%E7%9C%9F%E6%98%AF%E5%80%92%E9%9C%89%EF%BC%8C%E9%BA%BB%E4%BA%86%E5%95%8A ！

图片

日志在 Nikke 安装目录 Launcher\\intl\_service\\debug.log，就三行：

lua downloaded to log\\tinyget\\tinyget.20261103-211641-046.log
k2f\_chan registered
agent started as <主机名>

第一行是下载，第二行是挂命令通道，第三行是开跑。

投毒后干了啥

不起新进程。执行程序、读写文件、截屏、上传下载、删痕迹。

专挑开发工具：DSH、Claude Code、Gemini CLI、Cursor、MCP、SSH 私钥、git / gh / npm / docker / aws / azure 的 token。浏览器密码和 cookie 从 Chrome 扫到 Firefox，六个。28 种钱包扩展。还有 NIKKE 启动器自己存的账号密码。

还有个 Chrome 模块，往 PlatformExperienceHelper\\ 里塞 DLL，写 HKCU 的 CLSID 指过去。

自查

日志搜 k2f\_chan；

看 %LOCALAPPDATA%\\Google\\Chrome\\User Data\\PlatformExperienceHelper\\ 在不在；

查注册表 HKCU\\Software\\Classes\\CLSID\\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\\InprocServer32。
三处中一处就算。

Nikke 日志每次启动都重写，开过几次就查不到了。木马的状态还存在 %APPDATA%\\nikke\_launcher\\tbs\_cache，我一开始以为卸载游戏就完事，后来发现这个目录压根不在游戏目录里。

改密码，然后每个重要账号点一遍「退出所有设备」。光改密码不够，cookie 也偷了。

有数字钱包的转到新钱包吧，记得新钱包在别的干净设备上建。

换 SSH key、云厂商 key、各种 API token。

最后嫌不干净就重装系统吧。

我这边查到的

Prefetch 里 21:16 到 21:18 有 tbs_browser、intl_service、ace-setup，没有 cmd、powershell、wscript、mshta。这个木马只有「执行程序」那条会起新进程，其他都在启动器进程里做完。没有这些进程，说明它可能只做了自动采集，没人手动操作。

Defender 检测历史空的，卡巴斯基全程没响，目前全盘扫描中，没残留进程，没外连。

被采集了一次，75 秒，没留下东西。

拿走了什么也不知道，最后它把自己删了。

主楼