Els jugadors ho van trobar abans que l'estudi digués res
Un investigador de seguretat va publicar un informe a GitHub, recollit per Inven Global en la seva primera cobertura, que descrivia tres fitxers JavaScript oficials al CDN de Level Infinite que el launcher de Windows de Goddess of Victory: NIKKE carrega cada cop que s'obre. Segons aquest informe, els fitxers havien estat alterats per baixar i executar una eina d'accés remot. Siliconera i CyberInsider van coincidir que un tercer havia manipulat el launcher.
Inven Global també va assenyalar que els primers articles van sortir abans que l'editora comentés res. Aquest buit forma part de la història: durant un temps els jugadors no sabien si havien d'obrir el joc o no.
Què podia fer l'eina, segons els informes
L'article de CyberInsider indica que la càrrega maliciosa podia executar ordres, fer captures de pantalla, extreure fitxers i robar credencials desades i cookies de sessió. La data d'inici varia entre fonts. Algunes apunten a l'última setmana d'octubre, mentre que l'avís de Level Infinite, tal com el relata Inven Global, dona un punt de partida diferent. Per això el més prudent és parlar de "finals d'octubre endavant", i qui es vegi afectat hauria de seguir l'avís de l'editora i no una cronologia de premsa.
L'avís descriu una comprovació manual d'una entrada concreta en un registre de depuració del launcher, amb l'advertència que que no hi aparegui l'entrada no demostra res si el joc es va reinstal·lar o es van esborrar els registres. També recomana canviar les contrasenyes des d'un dispositiu net i activar la verificació en dos passos.
Què van fer després les companyies
Shift Up i Level Infinite asseguren que les correccions del client van sortir de matinada el 4 de novembre (hora de Corea), i Inven Global informa que el CEO de Shift Up va demanar disculpes públicament. Segons el mateix mitjà, el 5 de novembre es va aplicar una funció que detecta i elimina el programa maliciós en executar el client oficial, es prepara una compensació dins del joc i es revisaran via atenció al client els casos de danys en comptes o pèrdues econòmiques. La versió mòbil consta com a no afectada, i Tencent va dir a Inven Global que no ha vist senyals que altres jocs s'hagin vist compromesos.
Per què hauria d'importar a un equip petit
La majoria d'equips indie no tenen un launcher propi. Però molts carreguen alguna cosa des de fora de la build: una vista web per a les notes de la versió, un fragment d'analítica, un SDK de botiga, un manifest d'actualització. Tot el que el teu joc descarrega i executa en temps d'execució forma part de la teva superfície d'atac, i sol quedar fora de la passada normal de proves.
Hi ha hàbits barats que ajuden. Fes una llista de tots els recursos remots que toca una build en arrencar. Fixa versions o comprova hashes dels scripts quan puguis. Mantén la verificació en dos passos als comptes que controlen el teu CDN, la botiga i els servidors de compilació. I assaja el comunicat: qui l'escriu, on es publica i amb quina rapidesa, perquè el que els jugadors recorden són les primeres hores de silenci.
Res d'això surt als titulars fins que falla. Una llista de llançament que inclogui "què descarrega aquesta build i des d'on?" és el tipus de QA avorrit que a IndieBug ens agrada veure en el procés d'un estudi abans del dia de llançament, no després.