マルウェア・アズ・ア・サービス(MaaS)型の攻撃キャンペーン「WeedHack」が、感染したMinecraftクライアントやMODを配布する新たな拡散の波を見せています。攻撃者は当初のコマンド&コントロール(C2)インフラが遮断された後も、活動を継続しているとのことです。
研究者らは、人気のMinecraftプロジェクトになりすました複数の稼働中Webサイトを発見しました。これらのサイトは有料クライアントを無料で提供すると謳い、悪意あるダウンロードを信頼できるものに見せかけるため、著名なホスティングプラットフォームを悪用していました。
McAfee WebAdvisorは過去1カ月間で、これらの悪意あるサイトへのアクセス試行を6,300件以上ブロックしました。これは、WeedHackのダッシュボードとC2サーバーがテイクダウンされたにもかかわらず、配布インフラが依然として活動していることを示しています。
このマルウェアは利用しやすいオペレーター用ダッシュボードを通じて販売されており、アフィリエイト(協力者)は武器化されたMOD、チート、クライアント、ユーティリティを通じてゲーミングシステムを侵害できるようになっていました。
Endpointsecurity software
最近の活動はブランドなりすましに大きく依存しています。McAfeeは、正規のMinecraftプロジェクトのブランディング、機能一覧、FAQページ、インストール手順、クレジット、スクリーンショット、開発者情報をコピーしたなりすましサイトを観測しています。
なりすましドメインの一つであるglazed-client.comは、正規のGlazed Clientプロジェクトを模倣しており、複数のダウンロード選択肢を用意していますが、いずれもWeedHackに感染したファイルを配布するものでした。
このサイトは本物のGitHubリポジトリへもリンクしています。これはユーザーが悪意あるペイロードを取得する前に疑念を軽減させるための、信頼性を演出する手口です。
他の誘導手口は、有料または非公式コミュニティが開発したクライアントを標的にしています。偽のRadium Clientサイトは通常月額9.99ドルのツールを無料ダウンロードとして宣伝し、訪問者を「EasyClients」というDiscordコミュニティへ誘導します。このコミュニティでは、感染した複数のDonutSMPクライアントが配布されています。
同様の活動は、SeedCrackerX、Xenon Client、Nova Client、Meteor Client、および公式ドメインを持たない小規模プロジェクトも標的にしており、ユーザーは正規の入手元と攻撃者が運営するページを見分けるのに苦労する可能性があります。
McAfeeがGBHackersと共有したレポートで述べたところによると、WeedHackは2026年1月以降活動しているMinecraft特化型のMaaSオペレーションとして最初に浮上しました。McAfeeは以前、このキャンペーンを116,464件を超える感染、3,820個以上の悪意あるJARファイル、240件を超える配布URLと関連付けていました。
WeedHackマルウェアキャンペーン
このキャンペーンでは検索エンジンでの表示順位が引き続き重要な役割を果たしています。ある注目すべき事例では、McAfeeは「Xenon Client」でのGoogle検索結果の上位2件が、検証済みの正規プロジェクトのソースではなく、WeedHackの配布サイトにつながっていることを発見しました。
この悪意あるWebサイトには、本物のサイトと同様にDiscordリンクが掲載されていますが、リンク先は「EasyClients」という1,900人を超えるメンバーを抱えるチャンネルでした。
これはSEO汚染の運用上の価値を示す好例です。攻撃者はゲーミングコミュニティに侵入する必要はなく、ユーザーがダウンロード先を検索する時点で待ち構えていればよいのです。
これらの悪意あるサイトは、運用面で成熟しているように見せかけて作られています。サポートページ、バージョン選択機能、購入プラン、対話型の製品プレビュー、互換性の主張、コピーされた開発者クレジットなどが含まれています。
例えばCheatLibでは、一見異なる8個のMinecraft MODが、実際には同一のハッシュ値を持ち、WeedHackのペイロードを含むファイルに帰結していたと報告されています。
攻撃者はまた、有料ツールの「クラック版無料」を用いて、DonutSMPユーティリティやその他の対戦ゲーム強化ツールを求めるプレイヤーの需要を利用しています。
偽のKrypton Clientページは、AI搭載のWebサイト作成プラットフォームであるLovableを使って構築されていました。これは、ローコード/生成AI開発ツールが、説得力のある悪意あるインフラを迅速に展開するコストを引き下げていることを示しています。
このオペレーションは攻撃者が管理するドメインに限定されません。McAfeeが特定した悪意あるURLのうち、Discordリンクが全体の49.6%を占め、ほぼ半数に上りました。MediaFireは23.4%、GitHubは8.2%、Dropboxは4.6%でした。
洗練されたクローンサイトと馴染みのあるサービスが組み合わさることで、ユーザーの判断はより難しくなります。Discordサーバー、GitHubリポジトリ、ファイルホスティングリンクは、プロフェッショナルにデザインされたWebサイトに組み込まれていたり、ゲーミングコミュニティを通じて宣伝されていたりすると、正規のものに見えてしまう可能性があります。
McAfeeはさらに、Minecraftエコシステムのサイトやコミュニティチャンネルに関連するマルウェア混入リンクも観測しており、WeedHackの被害範囲は単独の偽クライアントページにとどまらず広がっています。
C2の遮断はWeedHackの当初の運用バックエンドに支障を与えたとみられますが、マルウェア配布のエコシステム自体を根絶するには至っていません。
Endpointsecurity software
このキャンペーンは、MaaSが抱える根深いリスクを浮き彫りにしています。中央のダッシュボードがオフラインになったとしても、アフィリエイトは既存のペイロードを流通させ続けたり、配布インフラを再構築したりすることができるのです。
WeedHackが以前備えていた機能には、認証情報の窃取やリモートアクセス機能が含まれます。McAfeeによると、Ethereumベースの技術であるEtherHidingを悪用して更新されたC2インフラを取得し、キャンペーンへの妨害を防ぐためにRSA署名付きレスポンスを利用していたと報告されています。
ゲーマーにとって最も安全な対策は、クライアントやMODを検証済みの公式プロジェクトチャンネルからのみ入手すること、有料ツールの「クラック版」を避けること、そして検索順位、Discordの人気度、GitHubリンクを真正性の十分な証拠とみなさないことです。
侵害指標(IoC)
| URL |
|---|
| hxxps://glazed-client[.]com/ |
| hxxps://github[.]com/Hl3n/GambleRigMod |
| hxxps://www[.]radium-client[.]com/ |
| hxxps://discord[.]com/channels/1467145812906872834/ |
| hxxps://seedcrackerx[.]github[.]io/ |
| hxxps://github[.]com/seedcrackerx/seedcrackerx[.]github[.]io |
| hxxps://xenonclient[.]com/ |
| hxxps://xenoclient[.]lol |
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 継承されたセキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/weedhack-malware-campaign/
