🛡️ Executive Summary
- WeedHack continua a circolare nonostante la disattivazione del vecchio C2 e della dashboard MaaS, sfruttando falsi siti Minecraft e file JAR trojanizzati.
- Il 49,6% dei link malevoli osservati da McAfee passa da Discord, seguito da MediaFire, GitHub e Dropbox, mentre alcuni domini raggiungono le prime posizioni dei motori di ricerca.
- Il malware ruba account Minecraft, browser, wallet e credenziali; la versione premium aggiunge webcam, keylogging, reverse shell e controllo remoto del sistema.
WeedHack non è morto con la caduta della propria infrastruttura originale. La campagna Malware-as-a-Service dedicata soprattutto agli utenti Minecraft continua a distribuire payload attraverso falsi client, mod contraffatte, repository, piattaforme di hosting e siti costruiti per sembrare copie quasi perfette dei progetti legittimi. McAfee Labs ha bloccato oltre 6.300 tentativi di accesso a queste pagine nell’ultimo mese e ha individuato casi in cui i domini controllati dagli attaccanti occupavano addirittura le prime posizioni nei risultati di Google. L’operazione conferma quanto il malware rivolto ai gamer stia diventando industriale: SEO poisoning, AI per costruire rapidamente siti credibili e una piattaforma criminale che aveva già accumulato oltre 116.000 hit.
Cosa leggere
WeedHack sopravvive alla caduta del vecchio C2
La nuova analisi di McAfee Labs mostra un’evoluzione interessante. Dopo la pubblicazione della prima ricerca sull’operazione, il precedente server di comando e controllo di WeedHack ha smesso di funzionare e la dashboard utilizzata dai clienti del servizio è stata rimossa. La distribuzione, però, non si è fermata. I ricercatori hanno trovato numerosi siti ancora attivi che continuano a consegnare file infetti, segno che l’ecosistema criminale creato intorno al malware è abbastanza decentralizzato da sopravvivere alla perdita del backend principale. I domini imitano progetti come Glazed Client, Radium Client, SeedCrackerX, Xenon Client, Nova Client e Meteor Client, copiando grafica, FAQ, documentazione, guide di installazione e perfino i nomi degli sviluppatori legittimi. In alcuni casi vengono inseriti collegamenti ai veri repository GitHub per aumentare la credibilità della pagina prima di proporre un download malevolo.
Google porta i falsi client davanti ai siti legittimi
Il punto più pericoloso della nuova campagna è il SEO poisoning. McAfee ha osservato che cercando Xenon Client i primi due risultati Google potevano condurre a domini utilizzati per distribuire WeedHack. Gli aggressori non devono quindi più convincere la vittima a cliccare un link arrivato via phishing: possono aspettare che sia l’utente a cercare autonomamente il programma e accompagnarlo verso un risultato costruito appositamente per sembrare legittimo.
È lo stesso principio utilizzato nelle campagne BoryptGrab con repository GitHub falsi e pagine ottimizzate per i motori di ricerca, dove la fiducia non nasce dal mittente del messaggio ma dalla posizione occupata dal contenuto nei risultati della ricerca. Nel mondo gaming il meccanismo è ancora più efficace, perché mod, client, cheat e utility vengono frequentemente distribuiti da piccoli progetti indipendenti privi di un sito ufficiale riconoscibile.
Discord, MediaFire e GitHub diventano la rete di distribuzione
L’infrastruttura non si limita ai domini contraffatti. Tra gli URL malevoli analizzati da McAfee, il 49,6% appartiene a Discord, il 23,4% a MediaFire, l’8,2% a GitHub e il 4,6% a Dropbox. Il malware viene quindi diffuso attraverso servizi perfettamente legittimi che forniscono reputazione, hosting e familiarità agli occhi dell’utente. Un falso sito Radium Client, ad esempio, rimandava a un server Discord chiamato EasyClients con oltre 1.900 membri, dove venivano offerti gratuitamente sette client DonutSMP infetti.
La stessa trasformazione di Discord in piattaforma di distribuzione criminale è stata osservata per anni, mentre campagne come GachiLoader hanno costruito intere reti YouTube attorno a cheat e software crackati. WeedHack combina entrambe le dinamiche: motore di ricerca per catturare la domanda e piattaforme social o file hosting per consegnare il payload.
Lovable permette di costruire siti malevoli usando l’AI
La campagna introduce anche un dettaglio che mostra quanto sia diminuito il costo operativo delle frodi online. Uno dei siti utilizzati per impersonare Krypton Client è stato costruito attraverso Lovable, piattaforma che permette di creare applicazioni e siti Web usando istruzioni in linguaggio naturale. Gli aggressori hanno utilizzato il servizio per realizzare una pagina che pubblicizzava una presunta versione crackata di uno strumento premium, completa di interfaccia, descrizioni e pulsante di download. L’AI non rende WeedHack più sofisticato dal punto di vista del malware, ma rende molto più semplice produrre rapidamente front-end convincenti, varianti grafiche e nuovi domini. Quando una pagina viene segnalata, sostituirla costa sempre meno. Il risultato è un modello industriale nel quale la qualità visiva del sito non rappresenta più alcun indicatore affidabile di legittimità.
I file JAR infetti sfruttano la normalità delle mod Minecraft
La catena tecnica parte da file JAR, formato perfettamente normale nell’ecosistema Minecraft. Il payload può essere eseguito direttamente oppure caricato dal gioco come una normale mod. Nella prima analisi tecnica pubblicata da McAfee su WeedHack i ricercatori avevano identificato oltre 3.820 JAR malevoli e più di 240 URL. Il primo stadio rilancia il file attraverso javaw.exe per evitare la comparsa della console e contiene un identificativo specifico associato al cliente WeedHack che ha generato il payload. La configurazione del C2 viene recuperata sfruttando Ethereum: il malware interroga uno smart contract attraverso numerosi endpoint JSON-RPC e riceve il dominio del server accompagnato da una firma RSA che viene verificata prima dell’esecuzione. Questo schema EtherHiding rende più difficile eliminare definitivamente la configurazione, perché l’infrastruttura blockchain viene utilizzata come livello resistente per distribuire l’indirizzo aggiornato del backend.
WeedHack prova anche a neutralizzare Microsoft Defender
Gli stadi successivi sono maggiormente offuscati attraverso JNIC, che trasforma parte del bytecode Java in codice nativo e rende l’analisi statica più difficile. WeedHack sfrutta poi CMSTP per un bypass UAC e rilascia uno script denominato WinDefConfig.cmd, utilizzato per modificare le impostazioni di Microsoft Defender e creare esclusioni che permettono ai componenti successivi di operare con minore interferenza. Non è una caratteristica isolata nel malware destinato ai gamer. LofyStealer aveva già colpito gli utenti Minecraft attraverso il falso hack Slinky, utilizzando a sua volta un modello MaaS e puntando a browser, token Discord e dati finanziari. WeedHack rende però il modello ancora più accessibile trasformando la creazione e la distribuzione del payload in un servizio guidato da dashboard e tutorial.
La versione gratuita ruba browser, wallet e sessioni Minecraft
Il livello gratuito di WeedHack è già un infostealer completo. Può rubare session ID Minecraft e dati da quattro launcher, raccogliere informazioni sul sistema, sottrarre cookie e password da 36 browser, cercare credenziali di Discord, Steam e Telegram, colpire 56 wallet crypto basati su browser e 12 wallet desktop, acquisire screenshot e cercare file attraverso 24 parole chiave. Questa capacità di monetizzare contemporaneamente gaming, browser e criptovalute avvicina WeedHack a campagne come Lumma Stealer distribuito attraverso falsi siti Reddit e WeTransfer, ma con una differenza fondamentale: il target iniziale è deliberatamente una comunità molto giovane, attirata da client modificati, cheat e funzionalità premium offerte gratuitamente.
Cinque dollari al mese comprano webcam, keylogger e reverse shell
La versione premium mostra quanto sia crollata la barriera economica del cybercrime. Per appena 5 dollari al mese, WeedHack aggiunge accesso alla webcam, keylogging, reverse shell, screen sharing con controllo di mouse e tastiera e gestione remota dei file. McAfee aveva osservato una dashboard enterprise-grade con statistiche sulle vittime, credenziali rubate, screenshot, builder per personalizzare i payload, tutorial di distribuzione, guide OPSEC e persino una classifica tra clienti. Gli operatori potevano creare mod infette compatibili con differenti versioni Minecraft e inserire il malware dentro progetti apparentemente funzionanti. Molti clienti sembravano essere adolescenti o giovani adulti, e McAfee ha documentato episodi in cui le funzioni remote venivano utilizzate per registrare le vittime attraverso la webcam, minacciarle e condividere i video come trofei sui canali criminali.
WeedHack dimostra che il gamer non è più un bersaglio secondario
L’elemento più significativo della campagna non è quindi soltanto il malware. È la combinazione tra SEO poisoning, community gaming, AI per costruire siti falsi, servizi cloud legittimi e MaaS praticamente gratuito. La distribuzione di malware attraverso videogiochi e cheat non è nuova, ma WeedHack riduce contemporaneamente tutti i costi: trovare una vittima, costruire un sito, generare il payload, controllare il sistema compromesso e monetizzare credenziali e wallet. La stessa industrializzazione del SEO criminale compare in campagne come Jewelbug, dove infrastrutture dedicate producono su larga scala pagine progettate per manipolare i risultati dei motori di ricerca. Per gli utenti Minecraft il segnale più semplice rimane anche il più efficace: un client, una mod o un cheat che chiede di disabilitare l’antivirus non sta risolvendo un falso positivo, sta chiedendo alla vittima di rimuovere personalmente l’ultima barriera prima dell’infezione. WeedHack dimostra che oggi perfino il primo risultato di Google, un repository GitHub autentico inserito nella pagina o un server Discord con migliaia di utenti non bastano più a stabilire che un download sia legittimo.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
