昨天晚上九点多，我玩了会，今天早上看到 NGA 帖子，回头翻日志，一看幸运中招了，真是倒霉，麻了啊 ！
日志在 Nikke 安装目录 Launcher\intl\_service\debug.log，就三行：
lua downloaded to log\tinyget\tinyget.20261103-211641-046.log
k2f_chan registered
agent started as <主机名>
第一行是下载，第二行是挂命令通道，第三行是开跑。
投毒后干了啥
不起新进程。执行程序、读写文件、截屏、上传下载、删痕迹。
专挑开发工具：DSH、Claude Code、Gemini CLI、Cursor、MCP、SSH 私钥、git / gh / npm / docker / aws / azure 的 token。浏览器密码和 cookie 从 Chrome 扫到 Firefox，六个。28 种钱包扩展。还有 NIKKE 启动器自己存的账号密码。
还有个 Chrome 模块，往 PlatformExperienceHelper 里塞 DLL，写 HKCU 的 CLSID 指过去。
自查
- 日志搜
k2f\_chan； - 看
%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\在不在； - 查注册表
HKCU\Software\Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32。 三处中一处就算。
Nikke 日志每次启动都重写，开过几次就查不到了。木马的状态还存在 %APPDATA%\nikke\_launcher\tbs\_cache，我一开始以为卸载游戏就完事，后来发现这个目录压根不在游戏目录里。
改密码，然后每个重要账号点一遍「退出所有设备」。光改密码不够，cookie 也偷了。
有数字钱包的转到新钱包吧，记得新钱包在别的干净设备上建。
换 SSH key、云厂商 key、各种 API token。
最后嫌不干净就重装系统吧。
我这边查到的
Prefetch 里 21:16 到 21:18 有 tbs_browser、intl_service、ace-setup，没有 cmd、powershell、wscript、mshta。这个木马只有「执行程序」那条会起新进程，其他都在启动器进程里做完。没有这些进程，说明它可能只做了自动采集，没人手动操作。
Defender 检测历史空的，卡巴斯基全程没响，目前全盘扫描中，没残留进程，没外连。
被采集了一次，75 秒，没留下东西。
拿走了什么也不知道，最后它把自己删了。
Select Language