2026-11-05

NIKKE 啟動器木馬：自我檢查與處理

一分鐘查出有沒有中，中了照順序處理

閱讀目的看完之後你知道：自己有沒有中、中了先做什麼、什麼時候可以再打開啟動器。

最簡單：下載一個檔案、雙擊

下載 nikke-k2f-check.cmd，雙擊，看結果；有痕跡才會問你要不要清除。

下載打開單一檔案下載的連結（在本頁最下面「出處」裡可以直接點）。瀏覽器說「這類檔案可能有害」的話，選「保留」。
雙擊到「下載」資料夾雙擊 nikke-k2f-check.cmd。出現藍色的「Windows 已保護您的電腦」，按「其他資訊」→「仍要執行」。
看結果等 30 秒到 1 分鐘，看視窗最後幾行，對照結果怎麼看。
要清除的話有找到痕跡，它會問要不要清除。先用手機換密碼（見中了之後的處理），再輸入 Y。系統管理員視窗按「是」，它會先列出一份編號的「總結」清單（常被忘記的 nikke_launcher_HMT 啟動器快取也在裡面），再問一次 Y 才動手；做完每一項會標成功或失敗。檔案只搬到隔離資料夾，不刪除；例外是登錄項（先備份再刪）、hosts 封鎖行、防火牆規則和結束啟動器，總結下方會列出。木馬如果正在執行，系統管理員提示擋不住它；最穩的是用另一個系統管理員帳號登入，或在安全模式下執行。

這個檔案安全嗎？它裡面就是這套工具的四支程式，打包成文字。執行時把它們放到暫存資料夾、核對沒被改過才跑；清除時再複製到只有系統管理員能改的資料夾、再核對一次，只跑那份複本，不會從網路下載任何東西；沒有回答兩次 Y 就不會改電腦。每一版的 SHA-256 在各版本與 SHA-256，從別人轉傳拿到的檔案請先核對。會用終端機的人，也可以照三個步驟檢查一步一步自己跑。

三角洲玩家看這裡

台港澳的三角洲（Garena 代理版）目前看來不受影響；想安心可以掃一次。

這次被竄改的是 Level Infinite 自家 CDN 上的檔案。台港澳玩的三角洲是 Garena 代理版，用的是 Garena 自己的啟動器，裡面的公告和網頁來自 Garena 的網站，不經過那台伺服器。

我用自己電腦上的 Garena 版啟動器實測（8 月安裝，9 月 9 日最後一次開啟）：啟動器的紀錄、網頁快取和程式檔裡，都找不到被竄改的網址、那 4 個檔案，也沒有木馬痕跡。網路上流傳的受影響清單，講的是三角洲 國際版和 Steam 版；我在台灣不開 VPN 的情況下，找得到的只有 Garena 版，Steam 版找不到。

官方這邊，到 11 月 5 日為止：妮姬的營運方在第二份公告裡只講妮姬，沒有點名其他遊戲；三角洲、Garena、騰訊都還沒有發任何聲明，說中了或說沒中都沒有。也是騰訊旗下的 Fatshark（《暗潮》）則由官方人員回覆，說自家啟動器不用那套伺服器，不受影響。

三角洲國服（中國大陸版）：我查了簡中的新聞、論壇和官方管道，找不到任何國服中毒的報導或實例，也找不到「國服沒事」的官方說法。中文圈流傳的「只有陸服沒事」講的是妮姬，不是三角洲。

還沒驗證到的部分9 月 27 日之後更新的 Garena 版啟動器我沒有測（沒更新，以免冒險），它當時載入網頁的網址現在也查不到了，沒辦法從網路上比對。國際版和 Steam 版找不到可以實測的版本。所以這是「目前看來」，不是保證。

鳴潮玩家看這裡

《鳴潮》的官方啟動器版和 Steam 版目前看來都不受影響。

網路上有人因為騰訊入股庫洛、鳴潮曾和 Level Infinite 合作，猜鳴潮也中了。目前沒有任何樣本或紀錄支持這個說法。

鳴潮的啟動器是庫洛自己做的，程式上的數位簽章是庫洛的香港公司；Steam 版也是由庫洛簽章的程式啟動。兩個都不是這次出事的 Level Infinite 啟動器，裡面顯示網頁的元件也跟妮姬那套不同。

我用自己電腦上的兩個版本實測（9 月 27 日之後都開過）：安裝資料夾和啟動器的網頁快取，大約 2,600 個檔案逐一比對，找不到木馬的網址和連線位址，也找不到被竄改那台 Level Infinite 伺服器的網址。

還沒驗證到的部分只測了一台電腦，而且只能比對已知的痕跡。檢查工具本身不認得鳴潮的資料夾，不用另外指定；但照三個步驟檢查跑一次還是有用，因為瀏覽器後門那部分不管玩哪款遊戲都會查。

你需要檢查嗎

9 月 27 日之後在電腦上開過啟動器，就建議檢查。

2026 年 9 月底到 11 月初，官方 CDN 上有 4 個檔案被攻擊者竄改。啟動器一打開就會自動載入它們，部分玩家因此被裝上遠端控制木馬。它會偷瀏覽器存的密碼和登入狀態、NIKKE 帳密、各種金鑰，以及加密貨幣錢包。

只要 9 月 27 日之後在電腦上打開過啟動器，國際版、港澳台版、日版都算，Google Play 遊戲電腦版也算（安裝在 C:\NIKKE_GOOGLE），Steam Deck 和 Linux 也算，就建議檢查。官方 11 月 5 日的公告也說只有電腦版啟動器出事，手機版沒有受影響。

官方啟動器現在會自動清除，先檢查再開官方說 11 月 5 日早上 7 點（台灣時間）起，打開官方電腦版就會自動偵測並刪除這次的木馬。但它刪掉的也是證據，刪完你就看不出自己中到哪一步。所以想知道有沒有中，先照三個步驟檢查跑完，再打開啟動器。就算被自動清掉了，密碼還是要照中了之後的處理換。

其他遊戲也會中嗎？網路上流傳一份清單，說王者榮耀國際版、暗區突圍等同一家發行商的電腦版也中了，但到目前為止 沒有證實。清單裡的 PUBG 指的是手機版，發行商 Krafton 已說它沒有電腦版、跟這次無關；PUBG 電腦版（Steam）是 Krafton 自己發行、由 Steam 直接啟動，不經過這次出事的啟動器。台港澳的三角洲看三角洲玩家看這裡，鳴潮看鳴潮玩家看這裡。其他遊戲可以照下一節最後一段，指定那個遊戲的啟動器資料夾再跑一次；瀏覽器後門那部分不管玩哪款遊戲都會查。

先做這件事檢查和處理完之前，不要再打開電腦版啟動器。

三個步驟檢查

下載、打開終端機、貼一行，再看最後一行結果。只讀檔案，不改任何東西。

不想開終端機的話，用最簡單：下載一個檔案、雙擊就好。下面是自己一步一步跑的做法；下載的 ZIP 裡也有 Run-Check.cmd，雙擊效果和單一檔案相同。

下載工具到工具原始碼頁面按綠色的 Code → Download ZIP，解壓縮到「下載」資料夾，會得到一個 nikke-k2f-check-main 資料夾。
打開終端機在開始按鈕上按右鍵，選「終端機」或「Windows PowerShell」。看終端機。
貼上指令按下方框框右上角的「複製」，在終端機視窗裡按右鍵貼上，再按 Enter。

防毒說這個 ZIP 有病毒？Windows 內建防毒（Defender）有時會把剛下載的 ZIP 誤判成病毒。名稱裡有 !ml 的（例如 Trojan:Script/Wacatac.B!ml）是機器學習「覺得像」，不是比對到已知病毒。這套工具為了清木馬，本來就會結束程式、改 hosts、加防火牆規則，這些動作看起來很像惡意程式。程式全部公開在工具原始碼，可以自己或請懂電腦的朋友看過。不要為了它關掉防毒；可以到微軟的檔案提交頁面回報誤判。

檢查（只讀）

powershell

powershell -ExecutionPolicy Bypass -File "$HOME\Downloads\nikke-k2f-check-main\Check-K2F.ps1"

最後看終端機的最後一行，對照下一節的表格。如果它說找不到安裝資料夾，在指令最後加上空格和你的安裝位置，例如 -InstallPath D:\NIKKE。查其他遊戲也是同樣做法，例如 -InstallPath "D:\game\Delta Force"（路徑有空格要加引號）。

結果怎麼看

四種結果；紅字分第 1、第 2 階段。

最後一行的四種結果
最後一行顯示	意思	接下來
中毒，木馬元件仍在	木馬啟動過，電腦裡還有它的元件。	先用手機改密碼，再做「中了之後」那一節。
曾經中毒，只剩歷史紀錄	木馬啟動過，已知元件已經清掉，只剩啟動器的紀錄檔。	被偷的密碼和金鑰仍然有效，換掉才是重點。
有接觸，未見木馬啟動	啟動器載入過攻擊者的程式，但沒看到木馬真正啟動。	改 NIKKE 和重要帳號的密碼。
沒發現已知痕跡	目前已知的痕跡都沒有出現。	不代表百分之百安全；確認官方檔案乾淨前先別開啟動器。

紅字會標第 1 或第 2 階段。第 1 階段是木馬在啟動器裡活動，關掉啟動器它就停了。第 2 階段是它寄生在 Chrome 裡，關掉遊戲之後還會繼續偷資料。看到第 2 階段，在處理完並重新開機之前，這台電腦上的 Chrome 都不要再登入任何帳號。

第 2 階段不只在 Chrome有一份對真實受害電腦的分析看到，它也會住進 Steam、Spotify、ChatGPT、EA、NVIDIA 這些內建瀏覽器元件的程式，沒裝 Chrome 也會被種；它還會在錢包網頁裡找助記詞。防毒掃描乾淨不代表沒中（至少有一台 Windows 防毒的離線掃描沒抓到），以檢查工具的結果為準。檢查工具也會找換了名字的疑似變種。

第 2 階段在瀏覽器裡會拿走什麼？它不是另一隻只偷瀏覽器的程式，而是同一隻木馬搬進 Chrome 住下來：關掉遊戲、甚至刪掉遊戲之後，每次開 Chrome 它都會再跑起來，能做的事跟在啟動器裡一樣。不是每台中毒的電腦都有第 2 階段，要攻擊者另外下指令才會裝上。瀏覽器這部分，它會讀走下面這些：

存起來的密碼。
登入狀態（Cookie）：拿到它，不用密碼、不用兩步驟驗證就能登入你的帳號，所以改密碼之外還要「登出所有裝置」。
解密用的金鑰：新版 Chrome 多加的那層加密也擋不住。
28 種加密貨幣錢包擴充功能（MetaMask、Phantom 等）的資料。

中了之後的處理

先用手機換密碼，再用處理工具清掉元件。

第一步：用手機換掉密碼和金鑰。 這一步最重要，而且工具做不到。用手機或另一台乾淨的電腦，從最重要的開始：

Google 帳號（同時也是 Chrome 的密碼庫）：改密碼，到「安全性 → 你的裝置」登出所有裝置，開啟兩步驟驗證。
Email、網路銀行、Discord、Steam 等主要帳號。
有寫程式的人：撤銷 GitHub 權杖和 SSH 金鑰，到各 AI 和雲端服務後台把 API 金鑰作廢重發，命令列工具重新登入。
Chrome 裡存過密碼的其他網站。
NIKKE（Level Infinite）帳號。
加密貨幣：助記詞沒辦法「改」，只能開新錢包，把資產轉過去。

第二步：清掉電腦裡的木馬元件。 在開始按鈕上按右鍵，選「終端機（系統管理員）」。先試跑一次，它只會列出打算做的事：

處理：試跑（只列出，不動手）

powershell

powershell -ExecutionPolicy Bypass -File "$HOME\Downloads\nikke-k2f-check-main\Remediate-K2F.ps1"

清單看起來沒問題，再加上 -Apply 真的執行：

處理：真的執行

powershell

powershell -ExecutionPolicy Bypass -File "$HOME\Downloads\nikke-k2f-check-main\Remediate-K2F.ps1" -Apply

它會結束啟動器、移除 Chrome 後門的登錄項和檔案、清掉啟動器快取，並封鎖攻擊者的網址和 IP。所有東西都是搬到隔離資料夾，不會直接刪除。如果它說檔案被鎖住，重新開機後再跑一次。最後再跑一次檢查，確認結果。

沒辦法重灌的話

重灌最保險；不能重灌就跑後門掃描，再做 Defender 完整掃描。

這隻木馬能執行任意指令，所以最保險的做法是重灌 Windows。資料太多、沒辦法重灌的話，跑下面這支掃描。它會從啟動器的紀錄算出木馬真正活動的時段，把那段時間新出現的自動啟動項和沒有簽章的程式排在最前面。大約要兩到三分鐘。

後門掃描（只讀）；把安裝位置換成你的

powershell

powershell -ExecutionPolicy Bypass -File "$HOME\Downloads\nikke-k2f-check-main\Sweep-Persistence.ps1" -InstallPath D:\NIKKE

「優先檢視」沒有項目是好消息。下面的其他清單大多是你自己裝的正常軟體，看看有沒有不認得的就好。最後用 Windows 安全性做一次完整掃描和離線掃描。

什麼時候可以再打開啟動器

不必只信官方說法：自己比對 4 個檔案的指紋。

官方說已經修好了，你也可以自己確認。下面這支只向官方 CDN 查那 4 個檔案的檔案指紋，跟研究者公布的乾淨版本比對，不會下載或執行任何程式。

官方檔案比對

powershell

powershell -ExecutionPolicy Bypass -File "$HOME\Downloads\nikke-k2f-check-main\Test-CdnFiles.ps1"

4 個都顯示「乾淨」才算數。CDN 在各地有很多節點，建議隔幾個小時查幾次，次次都乾淨再打開。打開前，先確認已經跑過處理工具，它會清掉啟動器快取裡的舊檔案。

這套工具做什麼、不做什麼

只找已知痕跡；處理只搬不刪；不是官方工具。

檢查只讀不寫；處理時檔案一律搬到隔離資料夾，不刪除（登錄項先備份再刪；hosts、防火牆、結束程序是不可搬的例外）。
妮姬啟動器的快取一律隔離；其他遊戲啟動器（例如三角洲）的快取，只有找到木馬痕跡才會搬，沒找到就不動。
它只能找已知的痕跡。沒找到不等於百分之百安全，所以才有「沒辦法重灌的話」那一節的掃描。
網路上常見的一鍵檢查用文字搜尋啟動器快取，但那是二進位檔，可能漏抓木馬的狀態紀錄；這套工具改用位元組比對。
這裡不提供「一行貼上、直接從網路下載並執行」的指令：這次出事，正是因為程式自動載入了網路上的程式碼。下載之後，你可以先打開 .ps1 檔看內容再執行。
痕跡清單來自 MotherSphere 技術整理和 WormW 樣本分析，中文判斷標準參考巴哈姆特整理文。這不是官方工具，也不保證能完全清除。

詞彙

啟動器 (launcher): 電腦版 NIKKE 開遊戲前出現的那個視窗。它會從網路載入公告和網頁，這次出事的就是它載入的程式。
CDN (content delivery network): 官方用來把檔案發到世界各地的伺服器群。各地有很多節點，你連到的不一定是同一台。
木馬 (remote access trojan): 讓攻擊者可以遠端操作你電腦的程式：執行指令、截圖、偷存在電腦裡的密碼和金鑰。
檔案指紋 (ETag): 伺服器給每個檔案版本的一串代號。檔案內容一變，代號就跟著變，所以可以拿來比對是不是乾淨的版本。
隔離資料夾 (quarantine folder): 處理工具把可疑檔案搬去的地方，在你的使用者資料夾底下。東西沒有被刪掉，只是搬走並改名，不會再被載入。
終端機 (PowerShell): Windows 內建輸入指令的視窗。在開始按鈕上按右鍵，選「終端機」或「Windows PowerShell」就會打開。

出處

單一檔案下載 — nikke-k2f-check.cmd：下載後雙擊就開始檢查。 https://github.com/WizerdBaChe/nikke-k2f-check/releases/latest/download/nikke-k2f-check.cmd
各版本與 SHA-256 — 每一版單一檔案的發布頁，附檔案的 SHA-256，可以核對。 https://github.com/WizerdBaChe/nikke-k2f-check/releases
MotherSphere 技術整理 — 完整的痕跡清單、時間線與移除順序。 https://gist.github.com/MotherSphere/d6c049a09ba8ac3085c51ee9df24a4e5
WormW 樣本分析 — 木馬本體的行為分析與偵測規則。 https://github.com/WormW/nikke_malware_analysis
巴哈姆特整理文 — 中文懶人包與判斷標準。 https://m.gamer.com.tw/forum/C.php?bsn=36390&snA=23304
工具原始碼 — 四支 PowerShell 腳本，下載前可以先看內容。 https://github.com/WizerdBaChe/nikke-k2f-check