WeedHack-kampanj mot skadlig kod
Cybersäkerhetsforskare har avslöjat en sofistikerad skadlig kampanj riktad mot Minecraft-spelare, som använder YouTube och sökmotormanipulation för att infektera användare med skadlig kod som kan ta kontroll över deras system.
Operationen, som spåras under namnet Weedhack, har varit aktiv sedan januari 2026. Hotaktörer döljer skadlig programvara som Minecraft-klienter och moddar, vilket lockar användare att ladda ner infekterade filer. Forskare har identifierat 3 820 unika skadliga JAR-filer och mer än 240 URL:er som är inblandade i distributionen av skadlig programvara.
För att maximera räckvidden förlitar sig kampanjen på SEO-förgiftningstekniker och YouTube-innehåll som marknadsför till synes legitima Minecraft-modifieringar. Utredare har redan identifierat flera videor och minst två YouTube-kanaler som leder tittare till skadliga nedladdningssajter.
Innehållsförteckning
En professionell kriminell plattform bakom kampanjen
Kärnan i verksamheten finns en avancerad instrumentpanel på weedhack.to, som ger cyberbrottslingar tillgång till stulna inloggningsuppgifter, systeminformation och övervakningsfunktioner för komprometterade enheter. Plattformen gör det också möjligt för kunder att generera anpassade skadliga programvaror riktade mot Minecraft-versionerna 1.21.0 till 1.21.11 och till och med injicera skadlig kod i legitima Minecraft-modifieringar.
Skadeprogramsekosystemet marknadsförs via en Telegram-kanal med fler än 850 medlemmar. Kanalen fungerar som ett nav för att marknadsföra tjänsten, distribuera uppdateringar och erbjuda kundsupport till plattformens användare.
Hur infektionskedjan fungerar
Attacken börjar när ett offer laddar ner en skadlig JAR-fil med namnet DonutDupe.jar från en av de bedrägliga webbplatserna. När filen har körts hämtar den information från Command-and-Control (C2)-servern via EtherHiding, en teknik som använder Ethereum-blockkedjan som en dead-drop-resolver.
Skadlig programvara kontaktar sedan C2-infrastrukturen och laddar ner en andra Java-baserad nyttolast som kallas Elevator.jar. Denna komponent samlar in systeminformation, skapar Microsoft Defender-undantag och förbereder systemet för ytterligare distribution av skadlig programvara.
En tredje nyttolast, SecurityManager.jar, etablerar persistens på den infekterade enheten och fungerar som en mellanliggande komponent. Slutligen levereras Component.jar, vilket möjliggör fjärråtkomstfunktionalitet som ger angripare omfattande kontroll över komprometterade system.
Gratis och premiumerbjudanden om skadlig kod
Weedhack-plattformen erbjuds genom två prenumerationsnivåer:
Gratisnivå : Inkluderar en kraftfull informationstjuv som kan samla in Minecraft-sessions-ID:n, data från fyra Minecraft-startprogram, skärmdumpar, filer, systeminformation, webbläsarcookies, lösenord från 36 webbläsare, information från 56 webbläsarbaserade kryptovalutaplånböcker och 12 skrivbordsplånboksapplikationer, samt inloggningsuppgifter associerade med Discord, Steam och Telegram.
Premiumnivå : Tillgänglig från 4,99 USD per månad eller 24,99 USD för en livstidslicens. Den här versionen lägger till avancerade fjärråtkomstfunktioner som webbkameraövervakning, keylogging, omvänd skalkörning, skärmdelning med tangentbords- och muskontroll samt filöverföringsfunktioner.
Global räckvidd och en lägre barriär för cyberbrottslighet
Flest infektioner har registrerats i USA, följt av Tyskland, Indien, Storbritannien, Italien, Vietnam, Kanada, Norge, Sverige, Finland och Spanien.
Ett utmärkande kännetecken för Weedhack är dess tillgänglighet på den öppna webben snarare än på dolda marknadsplatser. Genom att ge fri tillgång till sofistikerad skadlig kod tillsammans med detaljerade handledningar sänker plattformen inträdesbarriären avsevärt för blivande cyberbrottslingar. Den ytterligare möjligheten att stjäla Minecraft-konton ökar ytterligare dess attraktionskraft bland yngre användare, vilket gör kampanjen särskilt farlig och effektiv.
Från nätbrottslighet till nätmobbning
Forskare har också observerat en alarmerande social dimension i kampanjen. Många kunder verkar vara tonåringar och unga vuxna som utnyttjar den skadliga programvarans fjärråtkomstfunktioner för att skrämma, trakassera och övervaka offer.
Utredare dokumenterade fall där angripare i hemlighet filmade offer via komprometterade webbkameror och senare delade filmmaterialet på Telegram-kanalen som så kallade "troféer". Detta beteende belyser hur skadlig kodplattformar som Weedhack inte bara underlättar traditionell cyberbrottslighet utan också möjliggör riktad cybermobbning och digitala trakasserier.
