Minecraft è diventato il bersaglio di una campagna Malware-as-a-Service particolarmente insidiosa. Si chiama WeedHack e, secondo McAfee Labs, ha già portato a oltre 116.000 infezioni, sfruttando la popolarità di mod, client alternativi e strumenti gratuiti per attirare le vittime. La caratteristica più significativa non riguarda soltanto il malware, ma il modello criminale che ne sostiene la diffusione. WeedHack viene infatti offerto come servizio, rendendo strumenti di attacco accessibili anche a persone con competenze tecniche limitate. WeedHack mette a disposizione degli aspiranti attaccanti una vera infrastruttura MaaS. Il servizio comprende un pannello attraverso il quale è possibile gestire le vittime e accedere ai dati raccolti. La versione gratuita è disponibile a chiunque disponga di un account Discord, mentre le funzionalità premium partono da circa 5 dollari al mese. Il modello elimina quindi una delle principali barriere all’ingresso del cybercrime. Non è necessario sviluppare autonomamente un malware o costruire un’infrastruttura di comando e controllo. Il criminale può utilizzare uno strumento già predisposto e concentrarsi sulla distribuzione del file malevolo.
L’esca e il ruolo del SEO poisoning
La diffusione avviene soprattutto attraverso software che gli utenti associano normalmente all’esperienza di gioco. Mod, client, ottimizzatori e strumenti aggiuntivi vengono presentati come download gratuiti e apparentemente legittimi ma che contengono WeedHack.
Una volta eseguito, il malware può sottrarre credenziali e informazioni sensibili, compresi account Minecraft, token Discord e credenziali relative a portafogli di criptovalute. Le funzionalità offerte agli operatori possono inoltre comprendere accesso remoto al sistema, ai file, allo schermo e alla webcam.
Uno degli aspetti più interessanti della campagna è l’utilizzo del SEO poisoning. I criminali costruiscono siti che imitano quelli dei progetti legittimi e cercano di posizionarli tra i primi risultati dei motori di ricerca. McAfee ha individuato siti che replicano grafica, descrizioni, FAQ, guide di installazione, crediti e collegamenti a repository GitHub reali. In alcuni casi, questa strategia ha portato pagine malevole a comparire tra i primi risultati per ricerche relative a specifici client Minecraft.
La campagna dimostra inoltre come gli attaccanti possano sfruttare servizi perfettamente legittimi per rendere più credibili i propri download. Nell’analisi più recente, McAfee ha rilevato che il 49,6% degli URL malevoli individuati rimandava a Discord, il 23,4% a MediaFire, l’8,2% a GitHub e il 4,6% a Dropbox. Il ricorso a piattaforme conosciute aumenta la probabilità che la vittima consideri affidabile il file. Anche un collegamento a un repository GitHub legittimo può essere utilizzato come elemento di fiducia all’interno di un sito fraudolento.
Una minaccia ancora attiva
La disattivazione dell’infrastruttura originaria di WeedHack non ha determinato la fine della campagna. McAfee ha osservato nuovi siti ancora impegnati nella distribuzione del malware, mentre gli operatori hanno modificato le proprie tecniche. Nell’ultimo mese, McAfee WebAdvisor avrebbe bloccato oltre 6.300 tentativi di accesso a siti associati alla campagna. I ricercatori hanno inoltre individuato siti contraffatti dedicati a diversi client Minecraft e campagne che utilizzano anche piattaforme di creazione web basate sull’intelligenza artificiale.
WeedHack rappresenta dunque un esempio significativo di come il cybercrime stia trasformando le comunità gaming in un ecosistema commerciale per la distribuzione del malware. La combinazione tra Malware-as-a-Service, SEO poisoning, impersonificazione dei progetti e utilizzo di servizi legittimi consente di costruire campagne credibili con costi estremamente contenuti. Per i giocatori, la principale difesa rimane la verifica della provenienza dei client e delle mod. Un risultato apparso su Google, un link pubblicato su Discord o un file ospitato su una piattaforma conosciuta non costituiscono, da soli, una garanzia di sicurezza.
