Κακόβουλο λογισμικό σε ψεύτικα mods του Minecraft έδωσε πρόσβαση σε κάμερες 116.000 παικτών για 5 δολάρια

Ερευνητές της εταιρείας McAfee αποκάλυψαν μια εκτεταμένη επιχείρηση κυβερνοεπίθεσης με την ονομασία WeedHack, η οποία έχει μολύνει 116.464 παίκτες του Minecraft από τον Ιανουάριο του 2026.

Το συγκεκριμένο κακόβουλο λογισμικό εξαπλώνεται με ρυθμό 2.000 έως 3.000 νέων θυμάτων την ημέρα, προσφέροντας στους αγοραστές του πλήρη πρόσβαση στην οθόνη, την κάμερα και τα αρχεία των θυμάτων με συνδρομή που ξεκινά από μόλις 5 δολάρια τον μήνα.

Πώς λειτουργεί και πώς εξαπλώνεται το WeedHack

Το κακόβουλο λογισμικό διανέμεται μέσω ψεύτικων οδηγών στο YouTube και ιστοσελίδων λήψης που χρησιμοποιούν τεχνικές SEO-poisoning για να εμφανίζονται ψηλότερα στις αναζητήσεις από τις επίσημες σελίδες τροποποιήσεων.

Στο στόχαστρο βρέθηκαν δημοφιλή mods όπως τα Meteor, LiquidBounce και Wurst. Μετά τη λήψη, το πρόγραμμα εκτελείται αθόρυβα σε τέσσερα στάδια: συνδέεται με έναν διακομιστή εντολών κρυμμένο στο blockchain του Ethereum για να αποφύγει τον εντοπισμό, απενεργοποιεί το Windows Defender, εγκαθίσταται μόνιμα στο σύστημα ώστε να επιβιώνει μετά από επανεκκίνηση και μεταφέρει τα δεδομένα στους επιτιθέμενους.

Η δωρεάν έκδοση του λογισμικού συλλέγει αποθηκευμένους κωδικούς πρόσβασης και cookies από 36 προγράμματα περιήγησης, διαπιστευτήρια για το Discord και το Steam, δεδομένα από πορτοφόλια κρυπτονομισμάτων, καθώς και τα session IDs του Minecraft, επιτρέποντας την κατάληψη λογαριασμών χωρίς τη χρήση κωδικού. Η πρόσβαση στην κάμερα και τα αρχεία αποτελεί μέρος της premium αναβάθμισης.

Ενώ παρόμοια εργαλεία κοστίζουν συνήθως μεταξύ 250 και 500 δολαρίων τον μήνα στο dark web, το WeedHack ήταν προσβάσιμο απλώς με έναν λογαριασμό Discord, ενώ οι πληρωμές γίνονται μέσω Bitcoin και Litecoin με δημιουργία νέας διεύθυνσης σε κάθε συναλλαγή.

Παρενόχληση θυμάτων και εξέλιξη της απειλής

Οι ερευνητές της McAfee παρακολουθώντας το κανάλι της καμπάνιας στο Telegram, το οποίο αριθμούσε πάνω από 850 μέλη, διαπίστωσαν ότι οι αγοραστές, κυρίως έφηβοι, χρησιμοποιούσαν τα εργαλεία απομακρυσμένης πρόσβασης για να παρενοχλούν άλλους χρήστες, καταγράφοντάς τους μέσω της κάμερας και δημοσιεύοντας το υλικό στο κανάλι.

Παρόλο που το συγκεκριμένο κανάλι στο Telegram έχει κλείσει, η επιχείρηση παραμένει ενεργή, με τους διαχειριστές να δημιουργούν συνεχώς νέα domains καθώς τα παλαιότερα μπλοκάρονται.

Η πλατφόρμα διέθετε επίσης πίνακα προτάσεων, όπου οι χρήστες είχαν ψηφίσει ως κορυφαίες μελλοντικές προσθήκες τη λειτουργία jump scare και την υποστήριξη ransomware. Το περιστατικό αυτό προστίθεται σε μια σειρά παρόμοιων επιθέσεων, καθώς νωρίτερα φέτος ένα παιχνίδι τρόμου αφαιρέθηκε από το Steam επειδή έκλεβε κωδικούς πρόσβασης, ενώ πέρυσι οι παίκτες του Minecraft είχαν βρεθεί ξανά αντιμέτωποι με κακόβουλο λογισμικό που ήταν κρυμμένο σε ψεύτικα cheats.