Thought Leadership
Sicherheitsforscher haben festgestellt, dass Websites weiterhin aktiv die Schadsoftware Weedhack verbreiten, indem sie sich als beliebte Minecraft-Clients ausgeben.
McAfee Labs erklärte, das Unternehmen habe mehr als 6.300 Versuche erkannt und blockiert, auf entsprechende bösartige Websites zuzugreifen. Die gefälschten Gaming-Seiten imitieren dabei gezielt legitime Projekte samt Markenauftritt, Funktionslisten, FAQ-Bereichen, Installationsanleitungen, Entwicklerangaben sowie Verlinkungen zu echten GitHub-Repositories. Eine der Seiten wurde nach Angaben der Forscher sogar mit dem KI-gestützten Website-Baukasten Lovable erstellt, ein Hinweis darauf, wie leicht zugängliche Werkzeuge die Einstiegshürde für überzeugend wirkende Betrugsseiten weiter senken.
McAfee hatte Weedhack bereits im Juni 2026 erstmals dokumentiert und dabei den Einsatz von SEO-Manipulation sowie YouTube zur Umleitung von Datenverkehr auf gefälschte Domains beschrieben. Der eigentliche Angriff läuft mehrstufig ab und endet mit der Ausführung schädlicher JAR-Dateien, die Systeminformationen sammeln, Ausnahmen in Microsoft Defender einrichten und sensible Daten vom infizierten Rechner stehlen können.
Fast die Hälfte der Links führt zu Discord
McAfee-Forscher Aayush Tyagi erklärte dazu:
„Fast die Hälfte der identifizierten bösartigen URLs waren Discord-Links.“
Aayush Tyagi, McAfee-Forscher
Weitere Verbreitungswege liefen über MediaFire sowie GitHub, was laut Tyagi zeige, wie Angreifer bekannte, vertrauenswürdig wirkende Plattformen gezielt neben eigenen gefälschten Websites zur Verbreitung von Schadsoftware nutzen. Zu den identifizierten gefälschten Domains zählen unter anderem Nachbildungen der echten Projekte Glazed Client, Radium Client, SeedcrackerX, Meteor Client, Xenon Client sowie Nova Client. Bei zwei dieser Fälschungen, Xenon Client und Nova Client, erschienen die betrügerischen Seiten zeitweise sogar an oberster Stelle der Suchergebnisse bei Google, Microsoft Bing, Brave Search und DuckDuckGo.
Minecraft: Bereits zweiter bekannter Fall dieser Art in diesem Jahr
Neben eigenen gefälschten Domains nutzen die Angreifer auch reguläre Dateihosting-Dienste sowie GitHub-Repositories zur Verbreitung, verlinkt über Discord, Reddit und weitere Kommunikationskanäle, teilweise sogar über die legitimen Minecraft-Communityplattformen Planet Minecart und EndMods. Sicherheitsforschern zufolge handelt es sich nicht um den ersten derartigen Fall: Bereits im Juni 2026 hatte das Sicherheitsunternehmen Check Point eine groß angelegte, vergleichbare Kampagne aufgedeckt, die sich als Open-Source- und Freeware-Projekte ausgab und Nutzer über ein sogenanntes Traffic Distribution System zu Schadsoftware wie Remus Stealer und AnimateClipper weiterleitete.
Nutzern wird empfohlen, eigene Geräte stets aktuell zu halten, ausschließlich vertrauenswürdige Quellen für Downloads zu nutzen, heruntergeladene Dateien vor dem Öffnen zu prüfen sowie besondere Vorsicht walten zu lassen, sobald eine Mod oder ein Cheat vor der Installation zur Deaktivierung von Sicherheitsfunktionen auffordert.
(red)
