WeedHack est un malware de vol d’informations doté de capacités de Trojan d’accès à distance (RAT) qui cible principalement les joueurs Minecraft. Il est distribué en déguisant des fichiers Java malveillants en mods Minecraft, clients et autres outils liés au jeu. WeedHack fonctionne sous le nom de Malware-as-a-Service (MaaS), ce qui signifie que ses développeurs fournissent l’infrastructure malware à d’autres cybercriminels qui peuvent l’utiliser pour créer des charges utiles malveillantes et gérer les appareils infectés.
Une fois lancé, le malware WeedHack collecte des informations sur l’ordinateur compromis, y compris le système d’exploitation, le nom d’utilisateur, le nom de l’ordinateur, le processeur, le GPU, la mémoire et l’adresse IP. Il peut également capturer des captures d’écran du bureau de la victime. Cependant, la reconnaissance système ne représente qu’une petite partie de ses fonctionnalités.
Un objectif majeur de WeedHack est de voler les identifiants et les informations d’authentification. Le malware cible les données stockées dans les navigateurs web, y compris les mots de passe et cookies sauvegardés. Il recherche également des informations de session associées à des plateformes telles que Discord, Steam et Telegram. Obtenir des données de session active peut potentiellement permettre aux attaquants d’accéder aux comptes sans dépendre exclusivement de mots de passe volés.
Les comptes Minecraft sont spécifiquement ciblés. WeedHack recherche les informations d’authentification Minecraft et les jetons stockés par des lanceurs tiers. L’accès à des jetons de session valides peut potentiellement permettre aux attaquants de détourner le compte Minecraft d’une victime.
WeedHack cible également les informations liées aux cryptomonnaies. Il recherche des extensions de navigateur compromises et des applications de bureau associées aux portefeuilles de cryptomonnaies. Si les attaquants obtiennent des identifiants de portefeuille utilisables ou des informations d’authentification, la cryptomonnaie appartenant à la victime peut être mise en danger.
Un autre composant recherche dans l’ordinateur infecté des fichiers correspondant aux mots-clés sélectionnés par l’attaquant. Cela permet aux opérateurs WeedHack de localiser des documents potentiellement précieux ou d’autres informations stockées sur l’appareil sans chercher manuellement chaque répertoire.
La fonctionnalité premium du malware va bien au-delà du vol d’informations. WeedHack inclut des capacités RAT qui peuvent fournir aux attaquants un accès interactif aux ordinateurs infectés. Les opérateurs peuvent consulter à distance le bureau de la victime et fournir des saisies clavier et souris, leur permettant d’interagir avec des applications fonctionnant sur le système compromis.
Des capacités de surveillance supplémentaires incluent le keylogging et l’accès par webcam. Le keylogger enregistre les informations saisies par la victime, exposant potentiellement les mots de passe et autres données sensibles saisies après l’infection initiale. La fonctionnalité de webcam peut permettre à un attaquant d’obtenir une vidéo à partir d’une caméra accessible. WeedHack offre également des capacités de gestion de fichiers et d’exécution de commandes à distance.
Le malware utilise EtherHiding, une technique impliquant l’infrastructure blockchain, pour obtenir des informations sur ses serveurs de commande et de contrôle. WeedHack récupère les informations de configuration via la blockchain Ethereum, rendant certaines parties de son infrastructure plus résilientes face aux perturbations conventionnelles basées sur le domaine. Il utilise également la vérification cryptographique pour valider les réponses reçues de son infrastructure de commandement et contrôle.
Parce que WeedHack combine le vol de crédences avec une fonctionnalité étendue d’accès à distance, une infection peut exposer bien plus qu’un compte Minecraft. Les attaquants peuvent potentiellement accéder à d’autres comptes en ligne, fichiers privés, informations sur les cryptomonnaies, communications et activités effectuées sur l’ordinateur infecté.
La suppression des logiciels malveillants WeedHack doit donc être suivie de mesures de sécurité supplémentaires. Les identifiants qui auraient pu être accessibles depuis le système infecté doivent être modifiés depuis un appareil propre, les sessions actives doivent être examinées et terminées lorsque cela est approprié, et l’authentification multi-facteurs doit être activée sur les services supportés. L’ordinateur compromis doit également être analysé de manière minutieuse avec un logiciel de sécurité réputé.
Comment le malware WeedHack infecte-t-il les ordinateurs
Le malware WeedHack est principalement distribué en exploitant l’intérêt pour les modifications de Minecraft et les clients de jeu non officiels. Les attaquants déguisent des fichiers JAR malveillants en mods, utilitaires et autres téléchargements liés à Minecraft, donnant ainsi à l’apparence des fichiers compatibles avec les logiciels couramment utilisés par les joueurs.
L’une des méthodes de distribution implique des sites frauduleux conçus pour imiter des projets Minecraft légitimes ou des portails de téléchargement. Ces pages peuvent contenir des descriptions convaincantes, des évaluations, des compteurs de téléchargement, des avis et des liens vers de véritables ressources communautaires. Leur but est de convaincre les visiteurs que la modification ou le client proposé pour Minecraft est légitime.
Les attaquants utilisent aussi YouTube pour attirer des victimes potentielles. Les vidéos peuvent démontrer ou faire la promotion de mods et de clients Minecraft tout en dirigeant les spectateurs vers des pages de téléchargement externes via des descriptions ou des commentaires. Un joueur souhaitant obtenir le logiciel démontré peut donc télécharger un fichier JAR malveillant sans savoir qu’il contient WeedHack.
L’empoisonnement SEO est une autre technique associée à la campagne. Les attaquants créent et optimisent des pages frauduleuses afin d’apparaître dans les résultats de recherche lorsque les utilisateurs recherchent des modifications ou des clients spécifiques de Minecraft. Cette approche peut être particulièrement efficace lorsqu’un projet légitime ne maintient pas un site officiel de téléchargement clairement identifiable.
Le composant malveillant peut aussi être inséré dans une modification de Minecraft autrement fonctionnelle. Cela rend l’infection plus difficile à détecter car le mod téléchargé peut exécuter les fonctionnalités annoncées sur le site tandis que WeedHack s’exécute séparément en arrière-plan. Les utilisateurs ne peuvent donc pas supposer qu’un téléchargement est sûr simplement parce que la modification Minecraft semble fonctionner correctement.
Pour réduire le risque d’infection par un malware WeedHack, les modifications et clients de Minecraft doivent être obtenus sur des pages de projet vérifiées ou des plateformes de distribution de mods réputées. Les liens promus via des chaînes YouTube inconnues, des publicités, des commentaires et des sites de téléchargement nouvellement créés doivent être traités avec prudence.
Les utilisateurs doivent également éviter de désactiver les antivirus ou d’autres protections de sécurité simplement parce qu’un installateur de mods ou une page de téléchargement les leur ordonne. Les fichiers JAR provenant de sources inconnues doivent être traités avec la même prudence que les autres contenus exécutables, car les applications Java peuvent contenir du code malveillant.
Maintenir le système d’exploitation, l’environnement Java, les navigateurs et les logiciels de sécurité à jour peut encore réduire l’exposition aux vulnérabilités connues et améliorer la détection des malwares. Les sauvegardes régulières des fichiers importants doivent être maintenues séparément de l’ordinateur principal.
Si un mod ou un client Minecraft inconnu a déjà été exécuté et qu’une infection par WeedHack est suspectée, simplement supprimer le mod ne suffit pas à traiter les identifiants ou les jetons de session qui auraient pu déjà être volés. L’ordinateur doit être vérifié pour détecter des malwares, et les comptes potentiellement exposés doivent être protégés d’un appareil de confiance.