В результате кампании WeedHack было заражено более 116 000 систем Minecraft.

[zender]

Масштабная кампания по распространению вредоносного ПО под названием WeedHack нацелена на игроков Minecraft и с января заразила более 116 000 систем.


Вредоносное ПО распространяется через вредоносные моды, клиенты, читы и утилиты, связанные с Minecraft, которые рекламируются на YouTube и используются для SEO-оптимизации (поисковой оптимизации).


WeedHack работает как сервис похитителей информации (MaaS), предоставляя клиентам панель управления для просмотра украденных учетных данных и информации о скомпрометированных системах.

Данные телеметрии от компании McAfee, специализирующейся на кибербезопасности, показывают, что WeedHack затронул 116 464 системы, в среднем от 2000 до 3000 заражений в день. Большинство пострадавших находятся в США, Германии, Индии и Великобритании.


Масштаб операции отражается в более чем 240 URL-адресах распространения и 3820 уникальных вредоносных JAR-файлах.

Распространение вредоносного ПО WeedHack​

В сегодняшнем отчете исследователи McAfee утверждают, что кампания WeedHack достигает жертв в основном через видеоролики на YouTube, демонстрирующие инструменты, связанные с Minecraft, и занимающиеся SEO-атаками, направленными на их продвижение.


На видеоплатформе злоумышленник размещает ссылки для скачивания в описаниях и комментариях. Некоторые из видеороликов сделаны качественно, с закадровым голосом для большей достоверности, и набрали более 7500 просмотров.

Видео на YouTube, рекламирующее вредоносные моды для Minecraft.
Источник: McAfee

Метод распространения SEO-атаки нацелен на ключевые слова, соответствующие клиентам: Meteor Client, Radium Client, Wurst Client, Aristois, LiquidBounce, Impact Client, Future Client, Inertia Client, Cornos Client, WWE Client, 3arthh4ck, Salhack, Phobos и Gamesense.


Компания McAfee поясняет , что у многих из этих проектов нет официальных веб-сайтов, а есть только страницы на GitHub.

Сайт, распространяющий вредоносное ПО
Источник: McAfee

В одном из случаев, описанных в отчете, вредоносный веб-сайт отображает предупреждение о безопасности, указывающее на то, что загружать «Skytils» следует только с официального сайта.


Он даже содержит ссылки на легитимный репозиторий проекта на GitHub и сервер Discord, чтобы создать сильное, ложное ощущение легитимности для поддельного веб-сайта.

Предупреждение о вредоносном сайте: обнаружены поддельные моды для Minecraft.
Источник: McAfee

операция MaaS​

Вредоносная платформа WeedHack размещена в открытом интернете и предоставляет доступ любому желающему бесплатно, что крайне необычно для операций по краже информации.


Пользователям предоставляется доступ к панели управления, которая отображает обзор их жертв, профили зараженных систем, украденные данные и конструктор полезной нагрузки для версий Minecraft от 1.21.0 до 1.21.10.

Панель управления WeedHack
Источник: McAfee

Бесплатная версия программы для кражи учетных данных — идентификаторов сессий Minecraft, файлов cookie и сохраненных паролей — используется в 36 браузерах, 56 криптовалютных дополнениях, 12 настольных приложениях криптовалютных кошельков, а также позволяет делать скриншоты.


WeedHack также предлагает премиум-тариф за 5 долларов в месяц или пожизненную разовую покупку за 24,99 доллара, который добавляет удаленное управление с доступом к вводу (мышь и клавиатура), доступ к веб-камере, кейлоггер, удаленную оболочку и удаленное управление файлами.

Обзор атаки Weedhack
Источник: McAfee

В Telegram-канале проекта более 800 участников, и, по словам МакАфи, многие из клиентов, по всей видимости, являются подростками или молодыми людьми, которые используют инструменты удаленного доступа WeedHack для преследования своих жертв.


Игрокам в Minecraft следует доверять только модам из официальных источников проекта, проверять ссылки для скачивания и с осторожностью относиться к JAR-файлам, размещенным на сомнительных сайтах.


Для тех, кто хочет расширить свой игровой опыт, внутриигровой магазин Minecraft Marketplace — самый безопасный вариант.