昨天晚上九点多，我玩了会，今天早上看到 NGA 帖子，回头翻日志，一看幸运中招了，真是倒霉，麻了啊 ！

日志在 Nikke 安装目录 Launcher\intl\_service\debug.log，就三行：

lua downloaded to log\tinyget\tinyget.20261103-211641-046.log
k2f_chan registered
agent started as <主机名>

第一行是下载，第二行是挂命令通道，第三行是开跑。

投毒后干了啥

不起新进程。执行程序、读写文件、截屏、上传下载、删痕迹。

专挑开发工具：DSH、Claude Code、Gemini CLI、Cursor、MCP、SSH 私钥、git / gh / npm / docker / aws / azure 的 token。浏览器密码和 cookie 从 Chrome 扫到 Firefox，六个。28 种钱包扩展。还有 NIKKE 启动器自己存的账号密码。

还有个 Chrome 模块，往 PlatformExperienceHelper 里塞 DLL，写 HKCU 的 CLSID 指过去。

自查

1. 日志搜 k2f\_chan；
2. 看 %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 在不在；
3. 查注册表 HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32。 三处中一处就算。

Nikke 日志每次启动都重写，开过几次就查不到了。木马的状态还存在 %APPDATA%\nikke\_launcher\tbs\_cache，我一开始以为卸载游戏就完事，后来发现这个目录压根不在游戏目录里。

改密码，然后每个重要账号点一遍「退出所有设备」。光改密码不够，cookie 也偷了。

有数字钱包的转到新钱包吧，记得新钱包在别的干净设备上建。

换 SSH key、云厂商 key、各种 API token。

最后嫌不干净就重装系统吧。

我这边查到的

Prefetch 里 21:16 到 21:18 有 tbs_browser、intl_service、ace-setup，没有 cmd、powershell、wscript、mshta。这个木马只有「执行程序」那条会起新进程，其他都在启动器进程里做完。没有这些进程，说明它可能只做了自动采集，没人手动操作。

Defender 检测历史空的，卡巴斯基全程没响，目前全盘扫描中，没残留进程，没外连。

被采集了一次，75 秒，没留下东西。

拿走了什么也不知道，最后它把自己删了。

昨天晚上九点多，我玩了会，今天早上看到 NGA 帖子，回头翻日志，一看幸运中招了，真是倒霉，麻了啊 ！

日志在 Nikke 安装目录 Launcher\intl\_service\debug.log，就三行：

lua downloaded to log\tinyget\tinyget.20261103-211641-046.log
k2f_chan registered
agent started as <主机名>

第一行是下载，第二行是挂命令通道，第三行是开跑。

投毒后干了啥

不起新进程。执行程序、读写文件、截屏、上传下载、删痕迹。

专挑开发工具：DSH、Claude Code、Gemini CLI、Cursor、MCP、SSH 私钥、git / gh / npm / docker / aws / azure 的 token。浏览器密码和 cookie 从 Chrome 扫到 Firefox，六个。28 种钱包扩展。还有 NIKKE 启动器自己存的账号密码。

还有个 Chrome 模块，往 PlatformExperienceHelper 里塞 DLL，写 HKCU 的 CLSID 指过去。

自查

1. 日志搜 k2f\_chan；
2. 看 %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 在不在；
3. 查注册表 HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32。 三处中一处就算。

Nikke 日志每次启动都重写，开过几次就查不到了。木马的状态还存在 %APPDATA%\nikke\_launcher\tbs\_cache，我一开始以为卸载游戏就完事，后来发现这个目录压根不在游戏目录里。

改密码，然后每个重要账号点一遍「退出所有设备」。光改密码不够，cookie 也偷了。

有数字钱包的转到新钱包吧，记得新钱包在别的干净设备上建。

换 SSH key、云厂商 key、各种 API token。

最后嫌不干净就重装系统吧。

我这边查到的

Prefetch 里 21:16 到 21:18 有 tbs_browser、intl_service、ace-setup，没有 cmd、powershell、wscript、mshta。这个木马只有「执行程序」那条会起新进程，其他都在启动器进程里做完。没有这些进程，说明它可能只做了自动采集，没人手动操作。

Defender 检测历史空的，卡巴斯基全程没响，目前全盘扫描中，没残留进程，没外连。

被采集了一次，75 秒，没留下东西。

拿走了什么也不知道，最后它把自己删了。