Kampania złośliwego oprogramowania WeedHack
Badacze zajmujący się bezpieczeństwem cybernetycznym odkryli wyrafinowaną kampanię złośliwego oprogramowania skierowaną przeciwko graczom Minecraft. Kampania ta wykorzystywała serwis YouTube i manipulację wyszukiwarką, aby infekować użytkowników złośliwym oprogramowaniem zdolnym do przejęcia kontroli nad ich systemami.
Operacja, śledzona pod nazwą Weedhack, jest aktywna od stycznia 2026 roku. Aktorzy podszywają się pod złośliwe oprogramowanie, podszywając się pod klientów i mody do gry Minecraft, nakłaniając użytkowników do pobierania zainfekowanych plików. Badacze zidentyfikowali 3820 unikalnych złośliwych plików JAR i ponad 240 adresów URL zaangażowanych w dystrybucję złośliwego oprogramowania.
Aby zmaksymalizować zasięg, kampania opiera się na technikach zatruwania SEO i treściach na YouTube, które promują rzekomo legalne modyfikacje Minecrafta. Śledczy zidentyfikowali już wiele filmów i co najmniej dwa kanały na YouTube kierujące widzów do złośliwych stron pobierania.
Spis treści
Profesjonalna platforma przestępcza stojąca za kampanią
Podstawą operacji jest zaawansowany panel administracyjny hostowany na platformie weedhack.to, który zapewnia cyberprzestępcom dostęp do skradzionych danych uwierzytelniających, informacji systemowych oraz możliwości monitorowania zainfekowanych urządzeń. Platforma umożliwia również klientom generowanie spersonalizowanych ładunków złośliwego oprogramowania atakujących Minecrafta w wersjach od 1.21.0 do 1.21.11, a nawet wstrzykiwanie złośliwego kodu do legalnych modyfikacji gry.
Ekosystem złośliwego oprogramowania jest promowany za pośrednictwem kanału Telegram, zrzeszającego ponad 850 użytkowników. Kanał służy jako centrum reklamowe usługi, dystrybucji aktualizacji i oferowania wsparcia klientom platformy.
Jak działa łańcuch infekcji
Atak rozpoczyna się, gdy ofiara pobiera złośliwy plik JAR o nazwie DonutDupe.jar z jednej z fałszywych stron internetowych. Po uruchomieniu plik pobiera informacje o serwerze Command-and-Control (C2) za pomocą EtherHiding, techniki wykorzystującej blockchain Ethereum jako mechanizm rozwiązywania martwych adresów.
Następnie złośliwe oprogramowanie kontaktuje się z infrastrukturą C2 i pobiera drugi ładunek oparty na Javie, znany jako Elevator.jar. Komponent ten gromadzi informacje o systemie, tworzy wykluczenia w programie Microsoft Defender i przygotowuje system do wdrożenia kolejnego złośliwego oprogramowania.
Trzeci ładunek, SecurityManager.jar, ustanawia trwałość na zainfekowanym urządzeniu i działa jako komponent przejściowy. Na koniec dostarczany jest plik Component.jar, który umożliwia zdalny dostęp, dając atakującym rozległą kontrolę nad zainfekowanymi systemami.
Bezpłatne i płatne oferty ochrony przed złośliwym oprogramowaniem
Platforma Weedhack oferowana jest w ramach dwóch poziomów subskrypcji:
Bezpłatny poziom : zawiera potężne narzędzie do kradzieży informacji, które potrafi zbierać identyfikatory sesji Minecraft, dane z czterech programów uruchamiających Minecraft, zrzuty ekranu, pliki, informacje o systemie, pliki cookie przeglądarki, hasła z 36 przeglądarek internetowych, informacje z 56 portfeli kryptowalut opartych na przeglądarce i 12 aplikacji portfeli na komputery stacjonarne, a także dane uwierzytelniające powiązane z Discord, Steam i Telegram.
Warstwa Premium : dostępna od 4,99 USD miesięcznie lub 24,99 USD za licencję dożywotnią. Ta wersja oferuje zaawansowane funkcje zdalnego dostępu, takie jak podgląd za pomocą kamery internetowej, rejestrowanie naciśnięć klawiszy, wykonywanie poleceń w odwrotnej powłoce, udostępnianie ekranu za pomocą klawiatury i myszy oraz możliwość przesyłania plików.
Globalny zasięg i niższa bariera dla cyberprzestępczości
Najwięcej zakażeń odnotowano w Stanach Zjednoczonych, a także w Niemczech, Indiach, Wielkiej Brytanii, Włoszech, Wietnamie, Kanadzie, Norwegii, Szwecji, Finlandii i Hiszpanii.
Cechą charakterystyczną Weedhack jest jego dostępność w otwartej sieci, a nie na ukrytych, podziemnych rynkach. Zapewniając darmowy dostęp do zaawansowanego złośliwego oprogramowania i szczegółowych samouczków, platforma znacznie obniża barierę wejścia dla początkujących cyberprzestępców. Dodatkowa możliwość kradzieży kont Minecraft dodatkowo zwiększa jej atrakcyjność wśród młodszych użytkowników, co czyni kampanię szczególnie niebezpieczną i skuteczną.
Od cyberprzestępczości do cyberprzemocy
Badacze zaobserwowali również niepokojący wymiar społeczny kampanii. Wielu klientów to nastolatkowie i młodzi dorośli, którzy wykorzystują funkcje zdalnego dostępu w oprogramowaniu do zastraszania, nękania i monitorowania ofiar.
Śledczy udokumentowali przypadki, w których atakujący potajemnie nagrywali ofiary za pomocą przejętych kamer internetowych, a następnie udostępniali nagrania na kanale Telegram jako tzw. „trofea”. Takie zachowanie pokazuje, w jaki sposób platformy złośliwego oprogramowania, takie jak Weedhack, nie tylko ułatwiają tradycyjne cyberprzestępstwa, ale także umożliwiają ukierunkowane cyberprzemoc i nękanie cyfrowe.
