WeedHack è un malware che ruba informazioni con capacità di Trojan di Accesso Remoto, RAT, che prende di mira principalmente i giocatori di Minecraft. Viene distribuito mascherando file Java dannosi come mod di Minecraft, client e altri strumenti correlati ai giochi. WeedHack opera come Malware-as-a-Service (MaaS), il che significa che i suoi sviluppatori forniscono l’infrastruttura malware ad altri cybercriminali che possono usarla per creare payload dannosi e gestire dispositivi infetti.
Una volta avviato, il malware WeedHack raccoglie informazioni sul computer compromesso, inclusi il sistema operativo, il nome utente, il nome del computer, la CPU, la GPU, la memoria e l’indirizzo IP. Può anche catturare screenshot del desktop della vittima. Tuttavia, la ricognizione di sistema rappresenta solo una piccola parte della sua funzionalità.
Uno degli scopi principali di WeedHack è rubare credenziali e informazioni di autenticazione. Il malware prende di mira i dati memorizzati nei browser web, inclusi password e cookie salvati. Cerca anche informazioni sulle sessioni associate a piattaforme come Discord, Steam e Telegram. Ottenere dati di sessione attiva può potenzialmente permettere agli aggressori di accedere agli account senza dover fare affidamento esclusivamente su password rubate.
Gli account Minecraft sono specificamente mirati. WeedHack cerca informazioni di autenticazione Minecraft e token memorizzati da launcher di terze parti. L’accesso a token di sessione validi può potenzialmente permettere agli aggressori di dirottare l’account Minecraft di una vittima.
WeedHack prende di mira anche informazioni relative alle criptovalute. Cerca estensioni browser e applicazioni desktop associate ai portafogli di criptovalute nei sistemi compromessi. Se gli attaccanti ottengono credenziali di wallet utilizzabili o informazioni di autenticazione, le criptovalute appartenenti alla vittima potrebbero essere messe a rischio.
Un altro componente cerca nel computer infetto file che corrispondano alle parole chiave selezionate dall’attaccante. Questo permette agli operatori di WeedHack di individuare documenti potenzialmente preziosi o altre informazioni memorizzate sul dispositivo senza cercare manualmente ogni directory.
La funzionalità premium del malware va molto oltre il furto di informazioni. WeedHack include funzionalità RAT che possono fornire agli aggressori un accesso interattivo ai computer infetti. Gli operatori possono visualizzare remotamente il desktop della vittima e fornire input da tastiera e mouse, permettendo loro di interagire con applicazioni in esecuzione sul sistema compromesso.
Ulteriori funzionalità di sorveglianza includono keylogging e accesso alla webcam. Il keylogger registra le informazioni digitate dalla vittima, esponendo potenzialmente password e altri dati sensibili inseriti dopo l’infezione iniziale. La funzionalità della webcam può permettere a un attaccante di ottenere video da una telecamera accessibile. WeedHack offre anche funzionalità di gestione file ed esecuzione remota dei comandi.
Il malware utilizza EtherHiding, una tecnica che coinvolge l’infrastruttura blockchain, per ottenere informazioni sui suoi server di comando e controllo. WeedHack recupera le informazioni di configurazione tramite la blockchain di Ethereum, rendendo parti della sua infrastruttura più resilienti alle interruzioni convenzionali basate su domini. Utilizza inoltre la verifica crittografica per convalidare le risposte ricevute dalla sua infrastruttura di comando e controllo.
Poiché WeedHack combina il furto di credenziali con un’ampia funzionalità di accesso remoto, un’infezione può esporre molto più di un account Minecraft. Gli attaccanti potrebbero potenzialmente accedere ad altri account online, file privati, informazioni sulle criptovalute, comunicazioni e attività svolte sul computer contaminato.
La rimozione del malware WeedHack dovrebbe quindi essere seguita da ulteriori misure di sicurezza. Le credenziali che potrebbero essere accessibili dal sistema infetto dovrebbero essere modificate da un dispositivo pulito, le sessioni attive dovrebbero essere riesaminate e terminate dove opportuno, e l’autenticazione multifattore dovrebbe essere abilitata sui servizi supportati. Il computer compromesso dovrebbe inoltre essere scansionato accuratamente con software di sicurezza affidabile.
Come il malware WeedHack infetta i computer
Il malware WeedHack viene distribuito principalmente sfruttando l’interesse per le modifiche di Minecraft e i client di gioco non ufficiali. Gli aggressori mascherano file JAR dannosi come mod, utility e altri download correlati a Minecraft, facendo apparire i file coerenti con software comunemente usati dai giocatori.
Uno dei metodi di distribuzione coinvolge siti web fraudolenti progettati per imitare progetti o portali di download legittimi di Minecraft. Queste pagine possono contenere descrizioni convincenti, valutazioni, contatori di download, recensioni e link a risorse autentiche della comunità. Il loro scopo è convincere i visitatori che la modifica o il cliente di Minecraft offerto sono legittimi.
Gli aggressori usano anche YouTube per attirare potenziali vittime. I video possono dimostrare o pubblicizzare mod e client di Minecraft, indirizzando gli spettatori a pagine di download esterne tramite descrizioni o commenti. Un giocatore interessato a ottenere il software dimostrato può quindi scaricare un file JAR dannoso senza rendersi conto che contiene WeedHack.
L’avvelenamento SEO è un’altra tecnica associata alla campagna. Gli attaccanti creano e ottimizzano pagine fraudolente in modo da poter apparire nei risultati di ricerca quando gli utenti cercano modifiche specifiche o client di Minecraft. Questo approccio può essere particolarmente efficace quando un progetto legittimo non mantiene un sito ufficiale di download chiaramente identificabile.
Il componente malevolo può anche essere inserito in una modifica di Minecraft altrimenti funzionante. Questo rende l’infezione più difficile da notare perché la mod scaricata può eseguire le funzionalità pubblicizzate sul sito mentre WeedHack viene eseguito separatamente in background. Gli utenti quindi non possono presumere che un download sia sicuro semplicemente perché la modifica di Minecraft sembra funzionare correttamente.
Per ridurre la probabilità di un’infezione da malware da WeedHack, le modifiche e i client di Minecraft dovrebbero essere ottenuti da pagine di progetto verificate o da piattaforme di distribuzione di mod affidabili. I link promossi tramite canali YouTube sconosciuti, pubblicità, commenti e siti di download appena creati devono essere trattati con cautela.
Gli utenti dovrebbero anche evitare di disabilitare antivirus o altre protezioni di sicurezza semplicemente perché un installatore di mod o una pagina di download li ha istruiti a farlo. I file JAR provenienti da fonti sconosciute dovrebbero essere trattati con la stessa cautela degli altri contenuti eseguibili, poiché le applicazioni Java possono contenere codice malevolo.
Mantenere aggiornati il sistema operativo, l’ambiente Java, i browser e il software di sicurezza può ulteriormente ridurre l’esposizione a vulnerabilità note e migliorare il rilevamento del malware. I backup regolari dei file importanti dovrebbero essere mantenuti separatamente dal computer principale.
Se una mod o un client di Minecraft sconosciuto è già stato eseguito e si sospetta un’infezione da WeedHack, semplicemente rimuovere la mod non è sufficiente per risolvere credenziali o token di sessione che potrebbero essere già stati rubati. Il computer dovrebbe essere controllato per malware e gli account potenzialmente esposti dovrebbero essere protetti da un dispositivo affidabile.