WeedHack ist eine informationsstiehlende Malware mit Remote Access Trojan (RAT)-Fähigkeiten, die hauptsächlich Minecraft-Spieler ins Visier nimmt. Es wird verbreitet, indem bösartige Java-Dateien als Minecraft-Mods, Clients und andere spielbezogene Tools getarnt werden. WeedHack arbeitet als Malware-as-a-Service (MaaS), das heißt, seine Entwickler stellen die Malware-Infrastruktur anderen Cyberkriminellen zur Verfügung, die sie nutzen können, um bösartige Nutzlasten zu erstellen und infizierte Geräte zu verwalten.
Nach dem Start sammelt WeedHack Malware Informationen über den kompromittierten Computer, darunter Betriebssystem, Benutzername, Computername, CPU, GPU, Speicher und IP-Adresse. Es kann auch Screenshots vom Desktop des Opfers aufnehmen. Systemaufklärung stellt jedoch nur einen kleinen Teil ihrer Funktionalität dar.
Ein Hauptzweck von WeedHack ist der Diebstahl von Zugangsdaten und Authentifizierungsinformationen. Die Schadsoftware zielt auf in Webbrowsern gespeicherte Daten, einschließlich gespeicherter Passwörter und Cookies. Es sucht außerdem nach Sitzungsinformationen, die mit Plattformen wie Discord, Steam und Telegram verbunden sind. Der Zugriff auf aktive Sitzungsdaten kann es Angreifern potenziell ermöglichen, auf Konten zuzugreifen, ohne sich ausschließlich auf gestohlene Passwörter verlassen zu müssen.
Minecraft-Konten sind gezielt betroffen. WeedHack sucht nach Minecraft-Authentifizierungsinformationen und Tokens, die von Drittanbieter-Launchern gespeichert sind. Der Zugriff auf gültige Session-Tokens kann es Angreifern potenziell ermöglichen, das Minecraft-Konto eines Opfers zu kapern.
WeedHack richtet sich außerdem auf kryptowährungsbezogene Informationen. Es durchsucht kompromittierte Systeme nach Browser-Erweiterungen und Desktop-Anwendungen, die mit Kryptowährungs-Wallets verbunden sind. Wenn Angreifer nutzbare Wallet-Zugangsdaten oder Authentifizierungsinformationen erhalten, kann die Kryptowährung des Opfers gefährdet sein.
Eine weitere Komponente durchsucht den infizierten Computer nach Dateien, die mit Schlüsselwörtern übereinstimmen, die vom Angreifer ausgewählt wurden. Dies ermöglicht es WeedHack-Betreibern, potenziell wertvolle Dokumente oder andere auf dem Gerät gespeicherte Informationen zu finden, ohne manuell in jedem Verzeichnis suchen zu müssen.
Die Premium-Funktionalität der Malware geht deutlich über den Informationsdiebstahl hinaus. WeedHack enthält RAT-Funktionen, die Angreifern interaktiven Zugriff auf infizierte Computer ermöglichen können. Operatoren können den Desktop des Opfers aus der Ferne ansehen und Tastatur- und Mauseingaben bereitstellen, sodass sie mit Anwendungen interagieren können, die auf dem kompromittierten System laufen.
Weitere Überwachungsfunktionen umfassen Keylogging und Webcam-Zugriff. Der Keylogger erfasst vom Opfer eingegebene Informationen, wodurch Passwörter und andere sensible Daten, die nach der ersten Infektion eingegeben wurden, möglicherweise offengelegt werden. Die Webcam-Funktionalität ermöglicht es einem Angreifer, Videos von einer zugänglichen Kamera zu erhalten. WeedHack bietet außerdem Dateiverwaltung und Funktionen zur Fernsteuerung von Befehlen.
Die Malware nutzt EtherHiding, eine Technik mit Blockchain-Infrastruktur, um Informationen über ihre Command-and-Control-Server zu erhalten. WeedHack ruft Konfigurationsinformationen über die Ethereum-Blockchain ab und macht Teile seiner Infrastruktur widerstandsfähiger gegen konventionelle domainbasierte Disruption. Es verwendet außerdem kryptografische Verifikation, um Antworten aus seiner Command-and-Control-Infrastruktur zu validieren.
Da WeedHack Diebstahl von Zugangsdaten mit umfangreichen Fernzugriffsfunktionen kombiniert, kann eine Infektion deutlich mehr offenlegen als ein Minecraft-Konto. Angreifer können potenziell Zugriff auf andere Online-Konten, private Dateien, Kryptowährungsinformationen, Kommunikation und Aktivitäten auf dem infizierten Computer erhalten.
Das Entfernen von WeedHack-Malware sollte daher mit zusätzlichen Sicherheitsmaßnahmen gefolgt werden. Zugangsdaten, die vom infizierten System aus zugänglich gewesen sein könnten, sollten von einem sauberen Gerät geändert werden, aktive Sitzungen sollten überprüft und gegebenenfalls beendet werden, und Mehrfaktor-Authentifizierung sollte auf unterstützten Diensten aktiviert werden. Der kompromittierte Computer sollte außerdem gründlich mit seriöser Sicherheitssoftware gescannt werden.
Wie WeedHack-Malware Computer infiziert
WeedHack-Malware wird hauptsächlich verbreitet, indem das Interesse an Minecraft-Modifikationen und inoffiziellen Spielclients ausgenutzt wird. Angreifer tarnen bösartige JAR-Dateien als Mods, Dienstprogramme und andere Minecraft-bezogene Downloads, sodass die Dateien mit der von Spielern häufig verwendeten Software übereinstimmen.
Eine der Verbreitungsmethoden umfasst betrügerische Webseiten, die darauf ausgelegt sind, legitime Minecraft-Projekte oder Downloadportale zu imitieren. Diese Seiten können überzeugende Beschreibungen, Bewertungen, Download-Zähler, Rezensionen und Links zu echten Community-Ressourcen enthalten. Ihr Ziel ist es, Besucher davon zu überzeugen, dass die angebotene Minecraft-Modifikation oder der Client seriös ist.
Angreifer nutzen YouTube auch, um potenzielle Opfer anzuziehen. Videos können Minecraft-Mods und -Clients demonstrieren oder bewerben, während sie die Zuschauer über Beschreibungen oder Kommentare auf externe Download-Seiten verweisen. Ein Spieler, der die demonstrierte Software erhalten möchte, kann folglich eine bösartige JAR-Datei herunterladen, ohne zu wissen, dass sie WeedHack enthält.
SEO-Vergiftung ist eine weitere Methode, die mit der Kampagne verbunden ist. Angreifer erstellen und optimieren betrügerische Seiten, damit sie in den Suchergebnissen erscheinen, wenn Nutzer nach bestimmten Minecraft-Änderungen oder -clients suchen. Dieser Ansatz kann besonders effektiv sein, wenn ein legitimes Projekt keine eindeutig identifizierbare offizielle Download-Website betreibt.
Die bösartige Komponente kann auch in eine ansonsten funktionierende Minecraft-Modifikation eingefügt werden. Dadurch ist die Infektion schwerer zu erkennen, da der heruntergeladene Mod die auf der Website beworbenen Funktionen ausführen kann, während WeedHack im Hintergrund separat ausgeführt wird. Nutzer können daher nicht davon ausgehen, dass ein Download sicher ist, nur weil die Minecraft-Modifikation scheinbar korrekt funktioniert.
Um die Wahrscheinlichkeit einer WeedHack-Malware-Infektion zu verringern, sollten Minecraft-Änderungen und -clients von verifizierten Projektseiten oder seriösen Mod-Distributionsplattformen bezogen werden. Links, die über unbekannte YouTube-Kanäle, Werbung, Kommentare und neu erstellte Download-Websites beworben werden, sollten mit Vorsicht behandelt werden.
Nutzer sollten außerdem vermeiden, Antiviren- oder andere Sicherheitsvorkehrungen zu deaktivieren, nur weil ein Mod-Installer oder eine Download-Seite sie dazu anweist. JAR-Dateien von unbekannten Quellen sollten mit derselben Vorsicht behandelt werden wie andere ausführbare Inhalte, da Java-Anwendungen schädlichen Code enthalten können.
Die Aktualisierung des Betriebssystems, der Java-Umgebung, der Browser und der Sicherheitssoftware kann die Gefährdung bekannter Schwachstellen weiter verringern und die Malware-Erkennung verbessern. Regelmäßige Backups wichtiger Dateien sollten getrennt vom Hauptcomputer geführt werden.
Wenn bereits ein unbekannter Minecraft-Mod oder -Client ausgeführt wurde und eine WeedHack-Infektion vermutet wird, reicht es nicht aus, den Mod einfach zu entfernen, um Zugangsdaten oder Session-Tokens zu beheben, die möglicherweise bereits gestohlen wurden. Der Computer sollte auf Malware überprüft werden, und potenziell exponierte Konten sollten von einem vertrauenswürdigen Gerät gesichert werden.