Malware-от Weedhack се шири преку лажни Minecraft клиенти и SEO труење

Истражувачите за сајбер-безбедност открија дека неколку веб-страници сè уште активно дистрибуираат фамилија на малициозен софтвер позната како Weedhack до гејмери, претставувајќи ја како Minecraft клиенти.

McAfee Labs соопшти дека открил и блокирал повеќе од 6.300 обиди за пристап до малициозни веб-страници, при што открил веб-страници за игри што се дизајнирани да имитираат легитимни проекти, вклучувајќи брендирање, листи со функции, FAQ секции, упатства за инсталација, информации за програмерите и линкови до вистински GitHub репозиториуми.

Особено значајно е што една од веб-страниците е креирана со помош на Lovable, алатка за креирање веб-страници базирана на вештачка интелигенција (AI). Ова покажува како лесно достапните алатки можат дополнително да ја намалат бариерата и да им овозможат на напаѓачите полесно да создаваат убедливи нови малициозни веб-страници.

Weedhack за првпат беше документиран од компанијата за сајбер-безбедност во јуни 2026 година, при што беше опишано неговото користење на SEO труење и YouTube за пренасочување на сообраќајот кон лажни домени. Нападот активира повеќефазен процес кој завршува со распоредување на JAR payload-и, кои можат да собираат системски информации, да поставуваат исклучоци во Microsoft Defender и да крадат чувствителни податоци од компромитираниот уред.

„Речиси половина од идентификуваните малициозни URL-адреси беа Discord линкови (49,6%), по што следуваат MediaFire (23,4%) и GitHub (8,2%), што покажува како напаѓачите можат да користат познати платформи заедно со лажни веб-страници за дистрибуција на малициозен софтвер“, изјави истражувачот на McAfee Labs, Aayush Tyagi.

Некои од лажните домени преку кои се дистрибуира малициозниот софтвер се наведени подолу:

• glazed-client[.]com – ја имитира страницата glazedclient[.]com, бесплатен и open-source Minecraft додаток со истото име.
• radium-client[.]com – ја имитира страницата radiumclient[.]com, платен Minecraft клиент.
• seedcrackerx.github[.]io – ја имитира страницата seedcrackerx[.]com, софтвер за откривање/крекирање на Minecraft seed вредности.
• cheatlib[.]xyz – тврди дека е „модерна библиотека на Minecraft модови“ со повеќе од 1,6 милиони преземања.
• meteorclients[.]com – ја имитира страницата meteorclient[.]com.
• 22qq-client[.]com – се претставува како Minecraft мод со истото име за Crystal PvP сервери.
• kryptonclientcrack.lovable[.]app – ја имитира страницата kryptonclient[.]org, платена Minecraft алатка за DonutSMP серверот.
• nova-client[.]com – се претставува како open-source Minecraft клиент.
• xenoclient[.]lol и xenonclient[.]com – се претставуваат како Xenon клиент.

Вреди да се напомене дека веб-страниците на Xenon Client и Nova Client се појавуваат меѓу првите резултати од пребарувањето на различни пребарувачи, како Google, Microsoft Bing, Brave Search и DuckDuckGo. Ова им овозможува на корисниците кои не се сомневаат во измамата да преземат клиенти заразени со Weedhack.

„Легитимниот клиент е хостиран на GitHub и Modrinth; сепак, напаѓачите креирале лажна веб-страница и користеле техники на SEO труење за да ги надминат официјалните извори во резултатите од пребарувањето“, соопшти McAfee Labs.

Покрај лажните домени, забележано е дека услугите за хостирање датотеки и GitHub репозиториуми исто така се користат за ширење на Weedhack, при што линковите до овие веб-страници се дистрибуираат преку Discord, Reddit и други комуникациски канали. Друг канал за ширење е хостирањето на JAR датотеки на Planet Minecart и EndMods, кои се легитимни платформи за Minecraft алатки и подобрувања.

За спречување на оваа закана, се препорачува уредите редовно да се ажурираат, да се користат само доверливи извори, датотеките да се скенираат пред отворање и да се биде особено внимателен кога некој мод или cheat бара да се оневозможат безбедносните заштити пред инсталација.

Ова не е првпат SEO poisoning кампањи насочени кон популарни алатки да се користат за дистрибуција на малициозен софтвер. Во јуни 2026 година, Check Point предупреди на голема операција која ги имитира open-source и freeware проектите, со цел да ги пренасочува корисниците кои не се сомневаат во измамата преку Traffic Distribution System (TDS) и да доставува фамилии на малициозен софтвер како Remus Stealer, AnimateClipper и SessionGate framework.

Извори:

• The Hacker News – Weedhack Malware Spreads via Fake Minecraft Clients and SEO Poisoning The Hacker News