あんころ餅々🍵(粒あん派)

🎮NIKKE/ウマ娘/ZZZ📚メイドインアビス/100カノ/etc…🎨好きなものを好きに描くアカウントです！⚠️全イラストAI学習、無断転載・使用を禁止⚠️AIは使用しません⚠️

[【公式】勝利の女神：NIKKE - 4周年イベント開催中 @NIKKE_japan]

【11月12日のPCランチャーのセキュリティアップデートのお知らせ】

安全にゲームをご利用いただける環境を提供すべきところ、かえってご不安を抱かせてしまいましたことを、改めて深くお詫び申し上げます。

これまでの対応の経緯を簡潔にお伝えしたうえで、今回実施した追加のセキュリティ措置を中心にご説明いたします。

今回のインシデントに関連する不正プログラムのさらなる拡散は、11月4日に遮断いたしました。
その後も、さまざまなセキュリティ上の脅威に備えるため、追加のセキュリティ措置を段階的に講じております。
11月12日（木）20:30頃、第3段階にあたる追加のセキュリティアップデートを適用いたしました。

今回のアップデートは、さまざまなセキュリティ上の脅威への対応能力を高め、PCランチャー全体のセキュリティ体制を強化することを目的としています。

主な変更点の詳細については、公式サイトにてご確認ください。
https://t.co/Y2iwvhqqVr

今後は、PCランチャーの実行環境の分離と権限管理システムの強化を進めるとともに、構成要素の読み込みおよびアップデート経路に関するセキュリティの改善を行う予定です。
また、内蔵ブラウザ（TBS Browser）の中核となる構成要素のセキュリティを強化することで、外部からのセキュリティ上の脅威に対する防御システムをさらに強固なものにしてまいります。

指揮官の皆様に安全な環境でゲームをご利用いただけるよう、今後も一層細やかにセキュリティ対策に取り組んでまいります。

『勝利の女神：NIKKE』運営チーム

[エンジニアじぇいく@半導体業界 @kireina_tanaka]

多分、何もなければ、この件のポストで最後になる。

NIKKE PCランチャー事件の「自己責任論」について、整理しておきたい。

まず混同されているのは二つのレイヤーだ。公式ランチャーという配布経路が侵害された以上、その安全確保義務は運営側——パブリッシャーのLevel Infinite——にある（責任論）。「公式でも無条件に信頼するな」は一般論としては妥当だが、それは責任の所在とは独立した話（リテラシー論）。この二つを分けずに語ると、被害者に「あなたの落ち度だ」と読めてしまう。そして実際、そう読める形で使われている。

ただし、ひとくちに「自己責任」と言っても、その中にはグラデーションがある。「今後どう身を守るか」というリテラシーを示すことに重心を置くものもあれば、作品を守りたいがために、被害者へ責任を押し付ける免責ツールとして使うものもある。気になるのは後者だ。

興味深いのは、この免責ツールとしての使われ方が、事件当初の論点と同型なことだ。当初は「発行元の一次責任がSHIFT UPの二次責任に波及するのか」という争いがあり、そこで「発行元だけを叩くべき」論があった。これは責任の範囲を発行元で区切って、SHIFT UPを批評の外に置くものだった。今回の「自己責任」論も、責任の範囲を被害者個人のリテラシー問題に区切って、運営を批評の外に置く。向きは逆だが、批評が届く範囲を、守りたい側に都合よく狭めてしまうという機能は同じだ。そして責任の線は、最終的にいつも、SHIFT UPが責められない位置に引かれる。

決定的だったのは開発元が謝罪したことだ。ブランドを掲げる開発元が一定の責任を認めたことで、「責任は発行元だけにある」という区切り方は使いにくくなった。だが守りたいという動機は消えない。むしろ責任が確定したように見える分、SHIFT UPは批判に晒されやすくなる。だから今度は、責任の範囲を下へずらす——運営ではなく被害者の側で区切る。謝罪は終止符ではなく、責任を問う相手を別の場所へずらしただけだった。

なぜSHIFT UPへの擁護がここまで強く、攻撃的になるのか。それはSHIFT UPが単なる開発会社ではなく、アイドルのような存在として扱われているからだ。ファンにとってSHIFT UPは企業というより「応援する対象」であり、人格を持つ存在のように感じられている。実際、自分もSHIFT UPの作品を愛してやまない一人だ。金CEOの知名度の高さを見ても、この会社が単なる開発会社として扱われていないことは明らかだろう。

問題は、その擬人化が無制限の擁護を生むことだ。愛着の対象になった企業は、失敗しても「人間だから仕方ない」と許され、批判から守られる。そしてこの擁護を成立させるために、責任の所在を巡る議論が免責の道具として持ち出されがちだ。

「発行元だけを叩くべき」も、「自己責任」も、単独ではもっともらしい整理に見える。だが実際には、SHIFT UPが批評の射程に入らないよう責任の範囲を区切るために使われている。謝罪でさえ気持ちの表明として消費され、さらに20連分のゲーム内補償まで配られれば「もう十分だ」と受け取られ、構造的な責任まで支払われたことになってしまう。だがゲーム内アイテムで埋まる損害ではない。PC内のパスワードやCookie、金銭に及びうる被害は、補償とは別の話だ。だから謝罪も補償も議論を終わらせない。責任の重さは消えず、負担を押し付ける相手だけが別の場所へ移った。そして最終的に、その負担は最も弱い位置にいる被害者へ押し返されてしまう。

ここで言いたいのは、被害者を叩くのは筋が違うということだ。被害者は公式を信頼し、公式のランチャーを実行しただけだ。その信頼を裏切ったのは攻撃者であり、配布経路を守れなかった運営だ。PCやネットを自分で守るリテラシーの重要性は、自分も否定しない。だがそれは「今後どう身を守るか」というこれからの話であって、すでに起きたことの責任を被害者へ押し付ける道具ではない。責任を逃れるための道具として被害者を叩くのは、責任が本当にある場所から目を逸らす行為だ。

批判すべきは、運営や開発元が負うべき責任を、被害者に押し付ける連中だ。作品可愛さに被害者を叩く彼らは、一目で分かるほど幼稚だと言わざるを得ない。責任がどこにあるかという構造を一切見ず、守りたいものへの愛着だけを理由に、一番弱い場所へ負担を押し返している。それは擁護ではなく、単なる集団ヒステリーだ。

作品を愛するのは自由だ。だがその愛を、被害者を叩く免罪符にはしないでほしい。

[【公式】勝利の女神：NIKKE - 4周年イベント開催中 @NIKKE_japan]

【PCランチャーのセキュリティインシデントに関する追加のご案内およびセキュリティ上の注意事項について】

11月4日12:09にPCランチャーのセキュリティ措置が完了し、今回のインシデントに関連する不正プログラムがランチャーを通じてさらに拡散される問題を遮断いたしました。

現在、公式PCランチャーは正常にご利用いただける状態となっております。

ただし、セキュリティ措置の実施前にPCランチャーをご利用になった場合、パソコン内に不正プログラムが残っている可能性があります。
必要な措置がまだお済みでない指揮官の皆様は、案内に沿ってセキュリティチェックを実施していただきますようお願いいたします。

今回のお知らせでは、セキュリティチェックおよび不正プログラムの削除方法を改めてご案内するとともに、追加のセキュリティ強化計画と注意事項についてお伝えしております。

▼詳細はこちら
https://t.co/C0490byzhd

セキュリティチェックや不正プログラムの削除中に問題が発生した場合、または措置完了後も異常が見られる場合は、公式カスタマーサポートまでお問い合わせください。
現在、復旧作業中の異常やアカウントに関する問題、今回のインシデントによって生じたゲームご利用上のご不便やご負担について、継続的に情報を収集・確認しております。
お寄せいただいた内容は一件ずつ詳しく確認し、必要な対応策を検討のうえ、順次対応を進めております。
今後も責任を持って必要な対応を進め、指揮官の皆様に安心してゲームをご利用いただける環境を整えられるよう、引き続き努めてまいります。

今回のインシデントにより、多大なご不安とご心配をおかけし、セキュリティチェックや復旧作業においてもご負担とご不便をおかけしましたことを、改めて深くお詫び申し上げます。

『勝利の女神：NIKKE』運営チーム

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

【更新情報】
米国時間2026年11月6日、GoogleからChromeOS のセキュリティアップデート情報が公開されました（バージョン名:16836.32.0)。
更新が配信されましたら忘れずにアップデートしてください。
https://t.co/2vMedKTlvR

[あんころ餅々🍵(粒あん派) @anraIllust]

いいな〜いつかイベント出たいな〜

[あんころ餅々🍵(粒あん派) @anraIllust]

とても可愛い😭👏

[Ｔｏｔａ @totakeke___]

◎貴方のサークル「Multi@」は、火曜日 東地区 東７ホール Ａ35ab に配置されました。

無事にスペースをいただきました！やったー！
今回もNIKKEで参加いたします。

今回のメインストーリーとイベストで頭がいっぱいなので、メイン49.50イベストちょこっとのらくがき本と新刊セットをご用意できればと思います。
今回で連結キーホルダーも140種程ご用意できそうなので色々持っていけるよう頑張ります～！！
時間かなり限られているのでらくがき多めになってしまいそうですが、描きたい子をなるべく沢山描けたらいいな～と思いますので、何卒よろしくお願いいたします～！

[あんころ餅々🍵(粒あん派) @anraIllust]

@kkatsu2 そうですね。一言「今確認中です」もあれば安心度違うかな、て思いました。
でも、それより社内も大変だったのかなって。
ちゃんとした調査なり対策なり練った後に展開するにも時間がかかるのはとてもわかるのですが、やっぱりユーザーの不安もあるのでそこ含め大事件でしたね😢

[あんころ餅々🍵(粒あん派) @anraIllust]

PC欲しいと思ってたから今回の出費はいずれ来るものだったけど、この出来事はかなり大きいものであると認識して運営も誠意をちゃんと見せてほしいです。
ユーザーが拡散して対処法を公式で言って終わりでは今後も楽しめないです。
今後どうするかの発言は責任としてほしいですね。

[あんころ餅々🍵(粒あん派) @anraIllust]

@kkatsu2 調べてくださりありがとうございます😭
ここでまとめて返答しますね！
私もイラスト等は外付けHDDに入れて、ノートンで脅威なしは確認済みです！
一応念のため、様子見ってだけです！
以降、再度問題が発生せず何もなかったら移すつもりではいます！

[あんころ餅々🍵(粒あん派) @anraIllust]

新しいPCを新調しました！
前のPCはそのまま置いてますが、データを移すとかはしたくないので、一旦昔の絵は触れずに今後の様子を見つつ触ろうと思います！せっかく花嫁マリアン描いてたのに封印です😭
ゲームも今は信用してないのでスマホで(スマホも怖れてるよ

[あんころ餅々🍵(粒あん派) @anraIllust]

@MightyTours_No1 ゲームするだけでこんな大事になるぐらいのこと出来るんだ、て驚きもありました！
もう指揮官ヘトヘトです…
問題なく安心できる日が来てほしいですね…😌

[あんころ餅々🍵(粒あん派) @anraIllust]

この絵のデータも闇の中よ！
頑張って描いたんだからね！
辛いけど4周年祝いたい気持ちは変わらない！
一緒懸命描いた絵、見ていってよね✨

[あんころ餅々🍵(粒あん派) @anraIllust]

NIKKEが大好きで大好きで大好きでこれからも遊びたいからです！嫌いになって貶したいとかではないです！信用問題です！
これからも今回の対応含め頑張ってほしいです！待ってます！

[あんころ餅々🍵(粒あん派) @anraIllust]

@respect_ayuna 隠れてたとしてもこちらでは判断できないのが悔しいです！知識さえあれば！
私もいずれはクリーンインストールしようと思います😭

[あんころ餅々🍵(粒あん派) @anraIllust]

NIKKEの件、怖いけどどうしたらいいかわからないぐらいPC疎いので何も出来ず…
とりあえずアンインストールしたけど、chromeでYouTubeとか観ない方がいいんですかね…

[あんころ餅々🍵(粒あん派) @anraIllust]

こんな形で沢山の指揮官たちと話すことになるなんで、もっと4周年で楽しい話で盛り上がりたかった😭
でも、沢山の優しい指揮官たちのおかげで心救われたとこもあるので感謝です🙏
ありがとうございました✨
今度は楽しい話で盛り上がりたいですね😌

[あんころ餅々🍵(粒あん派) @anraIllust]

@respect_ayuna 諸々確認して対処済みです！
ホント気が気じゃなくて、何をしても大丈夫かな…て気持ちになることが今回の事件の嫌な部分ですね…😭

[あんころ餅々🍵(粒あん派) @anraIllust]

@m_hachidou それは…それは…😭
苦労して作ったものが消える悲しさ。
ホント、ゲームに身が入らないです。
スマホ版でしてはいるものの…気が乗らないです…

[あんころ餅々🍵(粒あん派) @anraIllust]

新しいPC買おうかと思ったんだけど、今めちゃくちゃ高いですよね？シフトアップさん、お支払いよろしくですか？

[あんころ餅々🍵(粒あん派) @anraIllust]

今までマリアン…つら…てなってたけど、今はリアルPC勢指揮官が一番つらい。
ストーリーの内容全部吹っ飛んでる。

[あんころ餅々🍵(粒あん派) @anraIllust]

@kkatsu2 Xでやるべき、やった方がいいとか書かれるの見ると心配になりますね…
昨日は「大丈夫でしょ！」て思ってましたが、心がジェットコースターのように揺らぎますw

[あんころ餅々🍵(粒あん派) @anraIllust]

クリーンインストールした方がいいってこと…なの…

[暇なスライム Lv.185 @LastFixer777]

⚠この内容はまだ修正中の不完全版です。

NIKKE PCランチャー侵害事案の技術検証と多層防御環境の評価

SNSで共有されているその報告は、2026年11月3日にGitHub Gistで公開された技術解析レポート（報告者：MotherSphere氏）および、翌11月4日に韓国・欧米メディアや公式発表で報じられた事実とほぼ完全に一致しています。

共有されたSNSの記述内容のファクトチェック・技術的詳細と、構築されている多層防御環境（Defense in Depth）における実際の影響・防御評価を網羅的に整理します。

1. 事件の技術的詳細とタイムライン（事実関係の検証）

今回の事案は、公式の配信インフラが侵害された「サプライチェーン攻撃」と、ランチャー内部の特権通信機構を悪用した「オペレーター操作型RAT（遠隔操作ツール）の展開」が組み合わさった深刻なセキュリティインシデントです。

侵害された箇所（Level Infinite CDN）と対象ビルド：『勝利の女神：NIKKE』のPC版ランチャーが起動時に読み込む、Tencent Cloud Object Storage（COS）上の公式JavaScriptファイル4本（https://t.co/CLZXZzSGaS 上の1本、および https://t.co/vEkdWD2ayu 上の3本：aegis-fix.min.js、vue-bucket.min.js、images.7fec4c32.js、FeedList.feb647c9.js）が、2026年9月27日（GMT）に改ざんされました。公式サイト配布のスタンドアロン版（Steamでは未配信）だけでなく、Google Play Games PC版のNIKKEビルド（C:\NIKKE_GOOGLE 配下）も同様に影響を受けました。

巧妙なコード挿入とインフラ準備の時系列：
攻撃者は9月27日に期限切れドメイン https://t.co/zO1VTeR0cJ を再登録し、10月6日に最初のSSL証明書を取得、10月29日に悪性DLLをコンパイルし、10月30日にはアクセス元を欺くための偽の「InsightJS」サービスページを公開していました。改ざんされたJSファイルでは、攻撃者のURLが整数配列（array of integers）として難読化されており、特に FeedList.feb647c9.js では簡易な末尾チェックを回避するため、ファイルの最後尾ではなくモジュールの最終 export 文の直前に708バイトの不正コードが挿入されていました。

なぜJavaScriptからOSが侵害されたのか（Luaエージェントと LuaJIT FFI）：
改ざんされたJSは、攻撃者のC2サーバー（ドメイン：https://t.co/zO1VTeR0cJ、https://t.co/YZuUNhqZoc、https://t.co/95RRkgjGpz ／ IPアドレス：89.127.233.127、89.126.250.172）上のスクリプト（l.js）から、暗号化されたLuaペイロード（insight.bundle、SHA-256: cc0ad05b...）を読み込むローダーとして機能していました。ローダーはランチャーのダウンロード機能を用いて insight.bundle を .log 拡張子（ログファイルに偽装）や k2f.lua / tinyget*（先頭バイトがLuaJITバイトコード 1B 4C 4A）として一旦ディスクに保存し、実行した直後に削除します。起動したLuaエージェントはランチャー内部の comm_center に k2f_chan という通信チャネルを登録し、さらにファイル読取や復号などの主要機能をランチャーのプロセス内部で LuaJIT FFI（Foreign Function Interface） を介して直接実行する構造になっていました。

活動期間と「30分周期」のビーコン通信：
ローダー自体は9月27日から設置されていましたが、C2サーバーの証明書発行直後である2026年10月23日 16:40 GMT（日本時間10月24日 01:40）が、実際にRATエージェントが起動した最古の報告日時です。ペイロードはランチャー起動時に毎回ではなく一定の確率で配信され、一度起動すると、ゲーム起動後もシステムトレイに常駐するランチャーから約30分周期（±6分のゆらぎ付き）でC2サーバーへポーリング（定期接続）を繰り返す仕組みになっていました。

11月4日の修正と「キャッシュ残存」の罠：
レポート公開を受け、3本のJSファイルは11月3日 17:04〜17:21 GMT（日本時間11月4日 02:04〜02:21）にクリーンなファイルへ置換され、運営は11月4日未明（日本時間2時30分頃）にクライアント更新を実施しました。しかし、4本目の FeedList.feb647c9.js（オリジンでは10月28日に修正済み）は一部のCDNエッジサーバーで11月4日未明まで改ざん版が配信され続けたほか、修正後のフロントエンド再ビルドでもこのファイルだけキャッシュバスター（?t=20261104 等）が付与されず同一URLが維持されたため、ローカルキャッシュ（tbs_cache）を手動削除しない限り改ざん版が読み込まれ続ける構造的欠陥が残りました。なお、11月4日に一部環境（台湾版等）のランチャー起動時に表示された英語の警告ポップアップは、公式の告知ではなく、残存していた改ざん経路（予備ドメイン）から外部の人物が表示させたものでした。

2. マルウェアの挙動と「Nexonの緊急通達」の理由

このマルウェア（Luaエージェント）は単なる自動情報窃取プログラムではなく、ランチャーが開いている間に攻撃者（オペレーター）が遠隔から任意のコマンドを送信して操作する対話型RATです。どのコマンドが実行されたかは debug.log に一切記録されません。

実装されていた遠隔コマンドとインプロセス実行（WormW氏の解析マップ）：

exec：任意のプログラムやシェルコマンドを実行し、その出力をC2へ返します。

screens：接続されている全モニターのスクリーンショットを撮影します（実行時、%TEMP% 等に k2f_screen_*.jpg が生成されます）。

ls / cd / cat / download / file_chunk：任意のフォルダを走査し、任意のファイルを閲覧・分割ダウンロードします。

browserscan：Chrome、Edge、Brave、Vivaldi、Opera、Firefox に保存されたパスワード、およびChromium系ブラウザのセッションCookieを窃取します（実行時、%TEMP% 等に k2f-bcreds-* という一時ファイルが生成されます）。

keyscan：264箇所の既知の設定・認証ファイルパス（SSH秘密鍵、AWS、Azure、Google Cloud、ArgoCD、OpenAI、Anthropic等のAPIキーや設定ファイル）を走査し、さらにWindows資格情報マネージャー内の開発者ツール系エントリのみ（git:, gh:, npm:, docker:, aws:, azure:, vscode: 等）を抽出します。

wallet_files：Chromeプロファイル内の28種類の暗号資産ウォレット拡張機能（MetaMask、Phantom、Coinbase Wallet等）のデータを自動窃取します（※自動走査はChromeのみですが、Brave等のウォレットデータも download / file_chunk コマンドで手動窃取可能です）。

creds：NIKKEランチャー自身が保存したログイン情報（psd.dat および last_user.dat）を復号します。

※上記のうち cat, download, file_chunk, creds, keyscan, browserscan, wallet_files の7つは子プロセスを生成せず、ランチャープロセス内部で LuaJIT FFI を通じて直接実行されます。

COMハイジャックによる永続化とフォームグラバー機能（chrome_install）：
chrome_install コマンドが実行されると、C2サーバーからBase64形式で悪性DLLが送り込まれ、ディスク書き込み前に端末固有のエージェントIDと64文字のトークンがバイナリ内にパッチされます。その上で、レジストリ HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}（および WOW6432Node）が作成され、%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ 配下に作成された「64文字の16進数（そのDLL自身のSHA-256ハッシュ値）の名前のサブフォルダ」内に platform_experience_helper.dll が配置されます。

重要（発火条件と検知回避）：
このCLSIDはWindows標準のペアレンタルコントロール（wpc.dll）のCOMクラスであり、すべてのChromeウィンドウを閉じていても（あるいはChrome未導入のBrave単独環境であっても）、Windowsの explorer.exe 等がこのDLLをロードして常駐・ロックします。また、Chrome等で動作した際はWebページに入力されたパスワードやウォレットのシードフレーズをリアルタイムに抜き取るフォームグラバーとして機能します。端末ごとにバイナリのハッシュ値が異なるため、Microsoft Defender Offline（定義 1.463.110.0）でも検知できない事例が確認されています。さらに、証拠隠滅用の chrome_cleanup、chrome_uninstall、payload_cleanup コマンドも備えています。

Linux / Steam Deck（Proton / Wine）への波及：Proton/Wine環境でも、WineがLinuxのルート（/）やホームディレクトリを Z: ドライブ等にマッピングし環境変数もすべて引き継ぐため、exec や cat コマンドによってLinux側の ~/.ssh やブラウザプロファイルがすべて窃取可能になります。

Nexon等の韓国ゲーム企業が緊急対応に動いた理由：
韓国メディアの報道通り、11月4日にNexonは子会社を含む全社員に対し「業務・私用問わずPCにNIKKEのランチャーがインストールされている場合は即時削除し、セキュリティチームへ端末を引き渡す（報告する）こと」という緊急通達を出しました。Kraftonも社内調査に入り、SHIFT UPのキム・ヒョンテ代表も公式に謝罪しました。keyscan の標的（264パス）が明らかにゲーム開発者・インフラエンジニアを狙ったものであり、社員の自宅・業務PCから社内GitHubやクラウド基盤へ侵入される「2次サプライチェーン攻撃」を極度に警戒したためです。

3. LoL（Riot Games）や他タイトルへの影響について

SNSの投稿にある通り、資本の親子関係と配信インフラの依存関係は明確に切り分ける必要があります。

League of Legends (LoL) / Riot Games：
Riot Gamesはテンセントの100%子会社ですが、配信基盤は独自の「Riot Client」であり、Level InfiniteのCDNとは完全に別物です。今回の騒動が発覚した端緒の一つも、「前日まで動いていたLoLが、アンチチート（Riot Vanguard）による不審な挙動・DLLの検知によって起動しなくなり、原因を追跡したプレイヤーがNIKKEランチャー由来のマルウェアを突き止めた」という経緯でした。なお、SNSで出回った「すべてのテンセント系ゲームがハッキングされた」というリストは4chanの根拠なき匿名投稿が発端であり、他タイトルのランチャーで同じローダーが読み込まれた証拠は確認されていません。

他のLevel Infinite関連ゲーム：
同じLevel InfiniteのCDNバケットを共有する他のWeb資産に攻撃者がアクセスできた可能性自体は否定できないため、開発各社（Fatshark等）が「自社のゲームはLevel InfiniteのCDNを使用していない」と声明を出すなど警戒が続いています。

「同じPCに入っていればLoLも危ない」の真偽：
完全に事実です。 10月23日（GMT）以降にNIKKEのPCランチャーを起動していた場合、同じPCのブラウザに保存されたパスワードやセッションCookie（2FAを突破してログイン維持できるトークン）が抜かれるため、LoL、Steam、Discord、Google、銀行口座などすべてのアカウントが侵害リスクに晒されます。

4. ご自身のPC環境（多層防御構成）における厳密な評価と影響分析

結論として、「NIKKEのPCランチャー（スタンドアロン版およびGoogle Play Games版）をインストール・起動していない」のであれば、今回の事件による直接の感染リスクはゼロです。

その上で、もしご自身の多層防御環境でこのような「正規ランチャーのサプライチェーン攻撃」に遭遇した場合、各レイヤーが実際にどう機能し、どこが突破されるかを厳密に評価します。

【突破される防衛線（サプライチェーン攻撃特有の死角）】
境界防御（HGW SPI・パブリックプロファイル着信全ブロック・UPnP無効化）の無効化：Windowsファイアウォールの「着信全ブロック（許可されたアプリの一覧を無視）」は外部やLAN内からの侵入を完全に防ぎますが、今回はユーザーが起動した正規署名付きランチャー自身が外へHTTPS通信（Outbound）を行ってC2サーバーへ30分周期でポーリングするため、インバウンド遮断やUPnP無効化では防げません。

ブラウザShields（L7）のバイパスとBraveデータの窃取：
ランチャー内蔵ブラウザ（CEF）が直接CDNのJSを実行するため、BraveのShieldsはバイパスされます。さらに、ペイロードの browserscan コマンドは Braveのプロファイルも標的としており、Brave内の保存パスワードとCookieを直接抜き取ります。

Brave単独（Chrome未導入）環境でも explorer.exe 等を介して発火するCOMハイジャック：
chrome_install はChromeの有無にかかわらず %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\ フォルダを自ら生成してDLLを配置し、HKCU レジストリのCLSID {E77CC89B-...} を書き換えます。このCLSIDはWindowsの explorer.exe 等からも参照・ロードされるため、Chromeを一切インストールせずBraveのみを運用している環境であっても、OS上で悪性DLLの永続化（メモリロードとファイルロック）が発火します。

LuaJIT FFI（インプロセス実行）とハッシュ可変DLLによるDefender / ASRのバイパス：
ランチャー内のJS/Lua実行はWindowsのAMSIを通らないだけでなく、browserscan や keyscan 等7つのコマンドは子プロセス（cmd.exe や powershell.exe）を生成せずランチャーの正規プロセス空間内から LuaJIT FFI で直接ファイルを読み取るため、「不審な子プロセス生成のブロック」等のASRルールを発火させずに情報窃取を完結できてしまいます。また、書き出される悪性DLLも端末ごとにハッシュ値が変化するため、Defenderのシグネチャ検知をすり抜けた実績があります。

ゼロデイ期間中（10月23日〜11月3日）のQuad9・ネットワーク保護のすり抜け：
攻撃者ドメイン（https://t.co/zO1VTeR0cJ 等）や2つのIP（89.127.233.127, 89.126.250.172）が脅威インテリジェンスに登録されたのは11月3日のレポート公開後です。それまでの約10日間は、Quad9（DoH）もDefenderのネットワーク保護も正常な通信として通過させていました。また、発覚後であってもIP直打ち通信に対してはDNS層（Quad9）がバイパスされます。

【機能する防衛線（被害の局限化・二次被害の完全阻止）】

Windows Defender ＋ DefenderUI（exec 実行時の挙動監視とIPネットワーク保護）：
LuaJIT FFIによるインプロセス窃取はすり抜けるリスクが高いものの、オペレーターがさらに踏み込んで exec コマンド（シェルコマンド実行）からPowerShellの難読化実行やLSASSダンプ等を試みたフェーズでは、DefenderUIで強化したASRルールや振る舞い検知がフックする公算が高くなります。また、DNS（Quad9）をバイパスする2つのC2 IPアドレスへの直打ち通信に対しても、脅威登録後の現在はDefenderの「ネットワーク保護（IPレピュテーション）」が遮断層として機能します。

パスキー運用と物理リカバリーコード（アカウント永久奪取の阻止）：
browserscan でセッションCookieを抜かれた場合、2FAをバイパスしてログイン済みセッションを悪用されるリスク（Pass-the-Cookie）は発生します。しかし、TPMやスマホにバインドされたパスキーの秘密鍵そのものはファイルとして絶対に窃取できません。そのため、パスワード変更や認証設定の書き換え時に「パスキーによる再認証（Step-up認証）」を要求する堅牢なサービス（Google等）においては、攻撃者によるアカウントの永久ロックアウトを阻止でき、紙媒体のリカバリーコードとオフラインバックアップによって確実な奪還が可能です。

物理2回線・L2隔離と着信全遮断による「LAN内横展開」の100%封じ込め：
仮にオペレーターが exec コマンドを使って家庭内LANの偵察や他端末・IoT機器・旧世代タブレットへの侵入（ラテラルムーブメント）を試みても、メインPCは光10G側に単独配置され、家電やタブレットはCATVサブ回線（二重ルーター＋プライバシーセパレーター）に物理分離されているため、家庭内ネットワーク内の他端末への二次感染は物理的・論理的に100%阻止されます。

5. 念のための確認項目（Exposed / Infected の2段階IoCチェックリスト）

ご自身のPCにNIKKEのランチャーを入れていなければ作業は不要ですが、過去に一度でもインストールした記憶がある場合（Google Play Games版を含む）は、必ず tbs_cache を削除する前に以下のIoC（またはMotherSphere氏公開の読み取り専用ツール NIKKE-Launcher-Check）で確認してください（※先にキャッシュを消すと痕跡が消え、正確な判定ができなくなります）。

A. 「Infected（RAT感染・稼働確定）」の痕跡（1つでも該当すれば感染確定）

ランチャーログ（debug.log および Launcher\log）：
NIKKE\Launcher\intl_service\debug.log（Google Play版は C:\NIKKE_GOOGLE\launcher\intl_service\debug.log）内に、k2f_chan、agent started as、lua downloaded to、adopted/resuming、https://t.co/YZuUNhqZoc のいずれかの文字列が存在する。 Launcher\log 内に insight.bundle のダウンロード記録が存在する。

ランチャーキャッシュ（tbs_cache）： %APPDATA%\nikke_launcher\tbs_cache\Local Storage\leveldb\（HMT版は nikke_launcher_hmt、環境により %LOCALAPPDATA% 側）内のファイルに k2f.agent という文字列が存在する、または TransportSecurity（HSTS）内に第2段階C2である https://t.co/YZuUNhqZoc の記録が存在する。

レジストリ（64bit / 32bit双方を確認）： HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} HKCU\Software\Classes\WOW6432Node\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04} ※HKLM 側（およびWineプレフィックス内の HKLM）にある同名キーはWindows標準の wpc.dll を指す正常なものです。HKCU 側にこのキーが存在する場合（たとえマルウェアの chrome_uninstall によって既定の値が空になっていても）は感染確定です。

ブラウザフォルダ内の悪性DLL（Chrome / Brave / Edge等14種の User Data 配下）： %LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\（およびBraveやEdge等の User Data\PlatformExperienceHelper\）配下に、「64文字の16進数（hex）の名前のサブフォルダ」があり、内部に platform_experience_helper.dll が存在する（※ PlatformExperienceHelper フォルダ自体はブラウザが正規に作成するため、64文字フォルダがない場合は削除しないでください）。 初期ビルドの痕跡：Chrome\Application\PlatformExperienceHelper\ 配下に platform_experience_helper.dll(.old) や old-clsid.txt が存在する。

一時フォルダ（%TEMP%）およびディスク上のステージング痕跡（データ窃取の物証）：
%TEMP% 内に k2f-bcreds-*（盗まれたブラウザ資格情報）や k2f_screen_*.jpg（スクリーンショット）が存在する。ドライブ上に insight.bundle、k2f.lua、tinyget*（先頭バイトが 1B 4C 4A のファイル）が存在する。

B. 「Exposed（改ざんスクリプトとの接触のみ・RAT未稼働）」の痕跡

上記「A（Infected）」には一切該当しないが、ランチャーの Cache / Code Cache または TransportSecurity（HSTS）、あるいはルーター/DNSログに https://t.co/zO1VTeR0cJ または https://t.co/95RRkgjGpz の記録のみが存在する状態（確率配信によりペイロードが落ちてこなかったケース）。この場合はキャッシュ（tbs_cache）の削除のみで安全を確保できます。

C. 万が一「Infected」に該当した場合の厳密な復旧・駆除手順通信の即時遮断：

ランチャー（システムトレイ常駐を含む）を終了し、LANケーブルを抜くかWi-Fiを切断します（ルーターやファイアウォールで https://t.co/zO1VTeR0cJ、https://t.co/YZuUNhqZoc、https://t.co/95RRkgjGpz、および 89.127.233.127、89.126.250.172 をブロックします）。

ロックされた悪性DLLの確実な削除手順：
悪性DLLはすべてのブラウザを閉じていても explorer.exe 等にロードされてロックされているため、必ず以下の順序で行います。

① コマンドプロンプト等で HKCU 側（標準および WOW6432Node）の {E77CC89B-7401-4C04-8CED-149DB35ADD04} キーを削除する。
② Windowsを再起動する（これにより explorer.exe 等へのDLLロードが解除され、ファイルロックが外れます）。
③ 再起動後、PlatformExperienceHelper 配下の「64文字の16進数サブフォルダ」と内部の platform_experience_helper.dll、および %APPDATA%\nikke_launcher\tbs_cache を削除する。

クリーンな別端末からの全セッション失効・認証情報の更新とOSクリーンインストール：

スマホ等の安全な別端末から、すべての主要アカウント（NIKKE、メール、Google、Discord、Steam、金融機関等）の「ログイン中セッションの強制ログアウト（Cookie無効化）」とパスワード変更を行い、開発者はSSH鍵やAPIトークン（GitHub、AWS、OpenAI、Anthropic等）をすべて失効・再発行し、暗号資産ウォレットは新しいシードフレーズのウォレットへ資産を移動します。最後に、exec による未知の改ざんを完全に排除するため、Windowsのクリーンインストール（初期化）を実施します。

[あんころ餅々🍵(粒あん派) @anraIllust]

@kkatsu2 ノートPCもいいなって思い始めましたw
事前に調べてたんですね！ちょっとよかったじゃないですか、羨ましい！
PCパーツはどんどん新しいものが出るので、何がどれぐらい凄いのついていけないです！