WeedHack es un malware que roba información con capacidades de Troyano de Acceso Remoto (RAT) que se dirige principalmente a jugadores de Minecraft. Se distribuye disfrazando archivos Java maliciosos como mods de Minecraft, clientes y otras herramientas relacionadas con juegos. WeedHack funciona como Malware-as-a-Service (MaaS), lo que significa que sus desarrolladores proporcionan la infraestructura de malware a otros ciberdelincuentes que pueden usarla para crear cargas útiles maliciosas y gestionar dispositivos infectados.
Una vez lanzado, el malware WeedHack recopila información sobre el ordenador comprometido, incluyendo el sistema operativo, nombre de usuario, nombre del ordenador, CPU, GPU, memoria y dirección IP. También puede capturar capturas de pantalla del escritorio de la víctima. Sin embargo, el reconocimiento de sistemas representa solo una pequeña parte de su funcionalidad.
Uno de los principales propósitos de WeedHack es robar credenciales e información de autenticación. El malware se dirige a datos almacenados en los navegadores web, incluyendo contraseñas y cookies guardadas. También busca información de sesiones asociada a plataformas como Discord, Steam y Telegram. Obtener datos de sesión activa puede permitir potencialmente a los atacantes acceder a cuentas sin depender exclusivamente de contraseñas robadas.
Las cuentas de Minecraft están específicamente dirigidas. WeedHack busca información de autenticación de Minecraft y tokens almacenados por lanzadores de terceros. El acceso a tokens de sesión válidos puede potencialmente permitir que los atacantes secuestren la cuenta de Minecraft de una víctima.
WeedHack también se centra en información relacionada con criptomonedas. Busca en sistemas comprometidos extensiones de navegador y aplicaciones de escritorio asociadas a carteras de criptomonedas. Si los atacantes obtienen credenciales de cartera utilizables o información de autenticación, la criptomoneda perteneciente a la víctima podría verse en riesgo.
Otro componente busca en el ordenador infectado archivos que coincidan con palabras clave seleccionadas por el atacante. Esto permite a los operadores de WeedHack localizar documentos potencialmente valiosos u otra información almacenada en el dispositivo sin tener que buscar manualmente en cada directorio.
La funcionalidad premium del malware va mucho más allá del robo de información. WeedHack incluye capacidades RAT que pueden proporcionar a los atacantes acceso interactivo a ordenadores infectados. Los operadores pueden ver remotamente el escritorio de la víctima y proporcionar entrada con teclado y ratón, permitiéndoles interactuar con aplicaciones que se ejecutan en el sistema comprometido.
Las capacidades adicionales de vigilancia incluyen el registro de teclas y el acceso por webcam. El keylogger registra la información tecleanda por la víctima, exponiendo potencialmente contraseñas y otros datos sensibles introducidos tras la infección inicial. La funcionalidad de la cámara web puede permitir que un atacante obtenga vídeo de una cámara accesible. WeedHack también ofrece capacidades de gestión de archivos y ejecución remota de comandos.
El malware utiliza EtherHiding, una técnica que implica infraestructura blockchain, para obtener información sobre sus servidores de mando y control. WeedHack recupera información de configuración a través de la blockchain de Ethereum, haciendo que partes de su infraestructura sean más resistentes a la disrupción convencional basada en dominios. También utiliza la verificación criptográfica para validar las respuestas recibidas de su infraestructura de mando y control.
Como WeedHack combina el robo de credenciales con una amplia funcionalidad de acceso remoto, una infección puede exponer mucho más que una cuenta de Minecraft. Los atacantes pueden acceder potencialmente a otras cuentas en línea, archivos privados, información de criptomonedas, comunicaciones y actividades realizadas en el ordenador infectado.
Por tanto, la eliminación del malware WeedHack debería ir seguida de medidas de seguridad adicionales. Las credenciales que pudieran haber sido accesibles desde el sistema infectado deben cambiarse desde un dispositivo limpio, revisarse y terminar las sesiones activas cuando sea apropiado, y la autenticación multifactor debe estar habilitada en los servicios soportados. El ordenador comprometido también debe ser escaneado minuciosamente con un software de seguridad de confianza.
Cómo el malware WeedHack infecta los ordenadores
El malware WeedHack se distribuye principalmente explotando el interés en las modificaciones de Minecraft y en clientes no oficiales de juegos. Los atacantes disfrazan archivos JAR maliciosos como mods, utilidades y otras descargas relacionadas con Minecraft, haciendo que los archivos parezcan consistentes con el software comúnmente usado por los jugadores.
Uno de los métodos de distribución implica sitios web fraudulentos diseñados para imitar proyectos legítimos de Minecraft o portales de descarga. Estas páginas pueden contener descripciones convincentes, valoraciones, contadores de descargas, reseñas y enlaces a recursos comunitarios genuinos. Su propósito es convencer a los visitantes de que la versión o cliente de Minecraft ofrecido es legítimo.
Los atacantes también utilizan YouTube para atraer posibles víctimas. Los vídeos pueden demostrar o anunciar mods y clientes de Minecraft mientras dirigen a los espectadores a páginas externas de descarga mediante descripciones o comentarios. Un jugador interesado en obtener el software demostrado puede, en consecuencia, descargar un archivo JAR malicioso sin darse cuenta de que contiene WeedHack.
El envenenamiento SEO es otra técnica asociada a la campaña. Los atacantes crean y optimizan páginas fraudulentas para que puedan aparecer en los resultados de búsqueda cuando los usuarios buscan modificaciones o clientes específicos de Minecraft. Este enfoque puede ser especialmente eficaz cuando un proyecto legítimo no mantiene un sitio web oficial de descarga claramente identificable.
El componente malicioso también puede insertarse en una modificación de Minecraft que por lo demás funciona. Esto dificulta la detección de la infección porque el mod descargado puede realizar las funciones anunciadas en la web mientras WeedHack se ejecuta por separado en segundo plano. Por tanto, los usuarios no pueden asumir que una descarga es segura simplemente porque la modificación de Minecraft parezca funcionar correctamente.
Para reducir la probabilidad de infección por malware por WeedHack, las modificaciones y clientes de Minecraft deben obtenerse de páginas de proyectos verificadas o plataformas de distribución de mods de confianza. Los enlaces promovidos a través de canales de YouTube desconocidos, anuncios, comentarios y sitios web de descarga recién creados deben tratarse con cautela.
Los usuarios también deberían evitar desactivar antivirus u otras protecciones de seguridad simplemente porque un instalador de mods o una página de descarga les indique hacerlo. Los archivos JAR de fuentes desconocidas deben tratarse con la misma precaución que otros contenidos ejecutables, ya que las aplicaciones Java pueden contener código malicioso.
Mantener actualizados el sistema operativo, el entorno Java, los navegadores y el software de seguridad puede reducir aún más la exposición a vulnerabilidades conocidas y mejorar la detección de malware. Las copias de seguridad regulares de los archivos importantes deben mantenerse separadas del ordenador principal.
Si ya se ha ejecutado un mod o cliente de Minecraft desconocido y se sospecha una infección por WeedHack, simplemente eliminar el mod no es suficiente para abordar credenciales o tokens de sesión que ya podrían haber sido robados. El ordenador debe ser revisado en busca de malware, y las cuentas potencialmente expuestas deben estar protegidas de un dispositivo de confianza.