Campanya de programari maliciós WeedHack
Investigadors de ciberseguretat han descobert una sofisticada campanya de programari maliciós dirigida als jugadors de Minecraft, que utilitza YouTube i la manipulació dels motors de cerca per infectar els usuaris amb programari maliciós capaç de prendre el control dels seus sistemes.
L'operació, rastrejada amb el nom de Weedhack, ha estat activa des del gener del 2026. Els actors amenaçadors disfressen programari maliciós com a clients i mods de Minecraft, atraient els usuaris perquè descarreguin fitxers infectats. Els investigadors han identificat 3.820 fitxers JAR maliciosos únics i més de 240 URL implicades en la distribució del programari maliciós.
Per maximitzar l'abast, la campanya es basa en tècniques d'enverinament SEO i contingut de YouTube que promou modificacions de Minecraft suposadament legítimes. Els investigadors ja han identificat diversos vídeos i almenys dos canals de YouTube que dirigeixen els espectadors a llocs de descàrrega maliciosos.
Taula de continguts
Una plataforma criminal professional darrere de la campanya
Al centre de l'operació hi ha un quadre de comandament avançat allotjat a weedhack.to, que proporciona als ciberdelinqüents accés a credencials robades, informació del sistema i capacitats de monitorització de dispositius compromesos. La plataforma també permet als clients generar càrregues de programari maliciós personalitzades dirigides a les versions de Minecraft 1.21.0 a 1.21.11 i fins i tot injectar codi maliciós en modificacions legítimes de Minecraft.
L'ecosistema de programari maliciós es comercialitza a través d'un canal de Telegram amb més de 850 membres. El canal serveix com a centre per anunciar el servei, distribuir actualitzacions i oferir assistència al client als usuaris de la plataforma.
Com funciona la cadena d’infecció
L'atac comença quan una víctima descarrega un fitxer JAR maliciós anomenat DonutDupe.jar d'un dels llocs web fraudulents. Un cop executat, el fitxer recupera informació del servidor de comandament i control (C2) mitjançant EtherHiding, una tècnica que aprofita la cadena de blocs Ethereum com a resolutor de dead-drop.
El programari maliciós contacta amb la infraestructura C2 i descarrega una segona càrrega útil basada en Java coneguda com a Elevator.jar. Aquest component recopila informació del sistema, crea exclusions del Microsoft Defender i prepara el sistema per a la implementació addicional de programari maliciós.
Una tercera càrrega útil, SecurityManager.jar, estableix la persistència al dispositiu infectat i actua com a component de prova. Finalment, es lliura Component.jar, que habilita la funcionalitat d'accés remot que dóna als atacants un ampli control sobre els sistemes compromesos.
Ofertes de programari maliciós gratuïtes i premium
La plataforma Weedhack s'ofereix a través de dos nivells de subscripció:
Nivell gratuït : Inclou un potent lladre d'informació capaç de recopilar identificadors de sessió de Minecraft, dades de quatre llançadors de Minecraft, captures de pantalla, fitxers, informació del sistema, galetes del navegador, contrasenyes de 36 navegadors web, informació de 56 moneders de criptomoneda basats en navegadors i 12 aplicacions de moneder d'escriptori, així com credencials associades amb Discord, Steam i Telegram.
Nivell Premium : Disponible des de 4,99 $ al mes o 24,99 $ per a una llicència de per vida, aquesta versió afegeix funcions avançades d'accés remot com ara vigilància per càmera web, registre de pulsacions, execució inversa de shell, compartició de pantalla amb control de teclat i ratolí i capacitats de transferència de fitxers.
Abast global i una barrera més baixa a la ciberdelinqüència
La majoria de les infeccions s'han registrat als Estats Units, seguits d'Alemanya, Índia, Regne Unit, Itàlia, Vietnam, Canadà, Noruega, Suècia, Finlàndia i Espanya.
Una característica definidora de Weedhack és la seva disponibilitat a la web clara en lloc de mercats clandestins ocults. En proporcionar accés gratuït a programari maliciós sofisticat juntament amb tutorials detallats, la plataforma redueix significativament la barrera d'entrada per als aspirants a ciberdelinqüents. La capacitat addicional de robar comptes de Minecraft augmenta encara més el seu atractiu entre els usuaris més joves, fent que la campanya sigui particularment perillosa i efectiva.
De la ciberdelinqüència al ciberassetjament
Els investigadors també han observat una dimensió social alarmant de la campanya. Molts clients semblen ser adolescents i adults joves que exploten les funcions d'accés remot del programari maliciós per intimidar, assetjar i monitoritzar les víctimes.
Els investigadors van documentar casos en què els atacants van gravar en secret les víctimes a través de càmeres web compromeses i posteriorment van compartir les imatges al canal de Telegram com els anomenats "trofeus". Aquest comportament posa de manifest com les plataformes de programari maliciós com Weedhack no només faciliten la ciberdelinqüència tradicional, sinó que també permeten el ciberassetjament dirigit i l'assetjament digital.
