Массовая вредоносная кампания WeedHack ударила по игрокам Minecraft и заразила более 116 тыс. систем с января. Злоумышленники маскируют вредоносный код под моды, клиенты, читы и утилиты, а потом разгоняют загрузки через YouTube и подмену результатов поиска.

История инцидента

По данным McAfee, WeedHack затронул 116 464 системы. В среднем кампания приносила по 2–3 тыс. заражений в день, а больше всего пострадавших оказалось в США, Германии, Индии и Великобритании.

Схема выглядит знакомо, но работает массово. Пользователя заманивают роликом с «полезной» сборкой, ссылку прячут в описании или комментариях, а затем ведут на поддельный сайт с JAR-файлом. Внутри — инфостилер, то есть вредоносная программа для кражи логинов, куки, сессий и другой чувствительной информации.

Особую роль сыграла подмена поиска. Когда человек ищет популярный клиент или мод, он может попасть не на официальный источник, а на сайт, который вылез наверх за счёт SEO-манипуляций. Это уже не редкость: похожую логику мы разбирали в материале о том, как фишинг прячется в статьях и редиректах.

Что пошло не так в защите

Проблема не только в самих подделках, но и в доверии к «признакам легитимности». В одном из случаев злоумышленники даже вывели на сайте предупреждение, что Skytils надо скачивать только с официального ресурса, и тут же вставили ссылки на настоящий GitHub и Discord проекта. Пользователь видит знакомые детали и расслабляется.

Ещё одна слабая точка — формат распространения. Кампания использует более 240 URL-адресов и 3 820 уникальных вредоносных JAR-файлов. Это позволяет быстро менять домены и сборки, уводя фильтры и усложняя блокировку.

WeedHack интересен и тем, что его открыли почти для всех: платформа работает в открытом интернете и предлагает бесплатный доступ. Для инфостилера это нетипично. Внутри есть панель, где видно украденные данные, профили заражённых устройств и даже конструктор вредоносной нагрузки для разных версий Minecraft.

В бесплатной версии злоумышленники воруют сессионные идентификаторы Minecraft, куки, сохранённые пароли из десятков браузеров, данные из криптокошельков, Discord, Steam и Telegram. Платная версия за $5 в месяц или $24,99 разово добавляет удалённый доступ, клавиатурный и мышиный ввод, веб-камеру, кейлоггер и работу с файлами.

По сути, это уже не «шутка» вокруг игры, а полноценный криминальный сервис. Похожую картину мы видели и в других историях — например, в разборе малвари для WordPress, которая прятала команды в профилях Steam. Механика та же: доверие к знакомой платформе используют как входную дверь.

Уроки для читателя

Главный вывод прост: чем популярнее тема, тем охотнее её используют для наживки. Игровые моды, читы, «ускорители» и бесплатные сборки — удобная приманка, потому что человек хочет быстро установить файл и сразу проверить результат.

Риск растёт, если вы скачиваете архивы и JAR-файлы не с официальной страницы проекта, а с рандомных сайтов, из комментариев под роликом или из поисковой выдачи без проверки домена. Любой файл, который просит отключить защиту, запустить его «как есть» или обещает бесплатные бонусы, стоит проверять вдвойне.

Если вы играете с публичных точек доступа — в отелях, аэропортах или кафе — держите в голове ещё один слой риска: перехват сессий и утечку данных через чужую сеть. Для таких случаев уместен инструмент для скрытия цифровых следов в открытых сетях — не как замена осторожности, а как один из элементов цифровой гигиены рядом с менеджером паролей и 2FA.

Практические выводы и чек-лист

  • Скачивайте моды и утилиты только с официальных страниц проекта или из проверенных магазинов.
  • Не переходите по ссылкам из описаний и комментариев под роликами, если не уверены в авторе.
  • Проверяйте домен: мошенники часто копируют оформление, но ошибаются в адресе сайта.
  • Не запускайте JAR-файлы из сомнительных источников и не отключайте защиту ради установки.
  • Держите отдельный пароль для игровых аккаунтов и включите 2FA, где это возможно.
  • Следите за входами в аккаунты Discord, Steam, почту и игровые сервисы.
  • Если после установки мода появились странные окна, лаги, неожиданные авторизации или пропали токены сессий — проверьте систему антивирусом и смените пароли с чистого устройства.
  • Помните: «бесплатный бонус» или «free discord nitro» в описании почти всегда ведёт к обману, а не к подарку.
  • Если в поиске всплывает запрос вроде «discord не работает» или «вечный starting discord», не ставьте случайные «исправлялки» из сети без проверки источника.
Поделиться: