WeedHack überlebt Takedown: Gefälschte Minecraft-Seiten verbreiten weiterhin Infostealer

Die Malware-as-a-Service-Kampagne WeedHack ist mit der Abschaltung ihres Command-and-Control-Servers nicht gestoppt. Ende August 2026 sind weiterhin zehn bösartige Websites und mehrere Filehosting-Konten aktiv und verbreiten den Infostealer, getarnt als Client und Mods für Minecraft. Das meldet McAfee Labs in einem Follow-up-Bericht vom 25. August, knapp zwei Monate nach dem ersten Eingriff, bei dem das Dashboard der Angreifer abgeschaltet worden war.

Ein kostengünstiger krimineller Dienst

WeedHack wurde erstmals Anfang Juni 2026 vom McAfee-Forscher Aayush Tyagi beobachtet, aktiv war die Operation jedoch bereits seit Januar. In sechs Monaten infizierte sie 116.464 Systeme, mit einer Rate von 2.000 bis 3.000 neuen Opfern pro Tag. Der Dienst funktionierte nach einem zweistufigen Modell: eine kostenlose Variante, zugänglich mit einem Discord-Konto, und eine Premium-Variante für 5 US-Dollar pro Monat, die zusätzlich eine Überwachung per Webcam bot. Die Betreiber verfügten über ein Dashboard, um gestohlene Zugangsdaten einzusehen, benutzerdefinierte Payloads zu konfigurieren und Opfer in Echtzeit zu überwachen.

Nach der Veröffentlichung des ursprünglichen Berichts in der ersten Juliwoche 2026 wurde der C2-Server deaktiviert. Das Dashboard ist nicht mehr erreichbar, die Verbreitungsseiten blieben jedoch aktiv. In den letzten dreißig Tagen blockierte McAfee WebAdvisor über 6.300 Zugriffsversuche auf diese Domains.

Die Täuschung läuft über Suchmaschinen und Communitys

Die Verbreitung von WeedHack nutzt eine strukturelle Schwäche des Minecraft-Moddings: Viele beliebte Tools haben keine offizielle Website, sondern lediglich GitHub-Seiten und Discord-Server. Die Angreifer erstellen detaillierte und überzeugende Fake-Seiten, kopieren Funktionen, FAQ, Installationsanleitungen, Entwicklerinformationen und sogar Links zu den legitimen GitHub-Repositorys.

Die Platzierung in Suchmaschinen spielt eine Schlüsselrolle. Für die Suchanfrage "Xenon Client" führten die ersten beiden Google-Ergebnisse zu gefälschten Seiten, die WeedHack verbreiteten, inklusive Installationsanleitungen, kostenlosen und kostenpflichtigen Downloads sowie Links zum echten Repository. Nova-client.com ist ein Paradebeispiel: Der Client hat keine offizielle Website, und die Fake-Domain platzierte sich über dem authentischen GitHub-Repository. 22qq-client.com macht dasselbe für eine Crystal-PVP-Mod.

Die Kampagne missbrauchte auch vertrauenswürdige Communitys wie Planet Minecraft und EndMods, wodurch die Betrugsversuche schwerer zu erkennen waren. Ein Discord-Kanal, der gefälschte DonutSMP-Clients bewarb, überschritt 1.900 Mitglieder, während eine andere Seite acht verschiedene Mods anbot, die alle dieselbe Malware auslieferten.

Verbreitungskanäle und Vertrauen der Nutzer

Der Großteil der bösartigen Links stammte von Discord, das allein 49,6 Prozent der Downloads generierte. Es folgen MediaFire mit 23,4 Prozent, GitHub mit 8,2 Prozent und Dropbox mit 4,6 Prozent. Diese Zahlen zeigen, dass die Angreifer auf Kanäle setzen, über die Spieler gewöhnlich Mods und Clients austauschen, und dabei das Vertrauen in Filehosting-Plattformen und Community-Server ausnutzen.

Die Nutzung legitimer Dienste zum Hosten der Payloads erschwert die Blockade auf Infrastrukturebene. Zudem wurde eine Website der Kampagne mit lovable.app erstellt, einer KI-basierten Webentwicklungsplattform, die Anweisungen in natürlicher Sprache akzeptiert. Dadurch sinken Kosten und technische Hürden für die Einrichtung neuer gefälschter Gaming-Seiten nahezu auf null, was den Lebenszyklus der Verbreitungsseiten beschleunigt.

Wie die Malware Kontakt hält: EtherHiding

WeedHack stiehlt Session-Cookies, Passwörter, Browserdaten und Inhalte von Kryptowährungs-Wallets. Um den Kontakt zur Infrastruktur auch dann aufrechtzuerhalten, wenn einzelne Server abgeschaltet wurden, setzten die Entwickler auf EtherHiding, eine Technik, bei der die Adresse des aktiven Servers aus der Ethereum-Blockchain abgerufen wird. Praktisch fragt der Payload die Blockchain ab, um die neue C2-Adresse zu erhalten, wodurch die einfache Entfernung einer Domain oder einer bestimmten IP wirkungslos wird.

Diese Resilienz erklärt, warum die Abschaltung des Hauptservers die Verbreitung nicht gestoppt hat. Die Fake-Seiten funktionieren weiter und liefern die Malware aus, die wiederum den neuen Kontaktpunkt über die Blockchain sucht. Es ist nicht bekannt, ob noch die ursprünglichen Betreiber das Kommando führen oder ob die Infrastruktur auf andere übergegangen ist, die Kampagne bleibt jedoch aktiv.

Hinweise zum Erkennen gefälschter Seiten

Die Forscher identifizierten einige nützliche Indikatoren, um Imitationsseiten zu entlarven. Auf nova-client.com listet der Abschnitt mit den Credits generische Teamnamen statt der echten Entwickler auf – ein Detail, das bei oberflächlichem Lesen oft übersehen wird. Generell neigen gefälschte Seiten dazu, aufwendiger gestaltet zu sein, als man es von einem Open-Source-Projekt ohne offizielle Website erwarten würde: Sie enthalten FAQ, Installationsanleitungen und kostenpflichtige Downloads – Elemente, die authentische GitHub-Repositorys nicht bieten.

Ein „Download"-Button auf einer Seite, die nicht das offizielle Repository des Entwicklers ist, sollte misstrauisch machen. Dasselbe gilt für Links, die über Discord oder MediaFire geteilt werden und „Premium"- oder „gecrackte" Versionen kostenloser Clients versprechen. Wenn ein Tool dazu auffordert, den Virenschutz zu deaktivieren, ist es ohne Ausnahme als Malware zu behandeln.

Die Empfehlungen von McAfee

McAfee empfiehlt, Mods und Clients nur aus offiziellen Repositories der Entwickler oder von vertrauenswürdigen Plattformen wie Modrinth und CurseForge herunterzuladen. Diese Plattformen prüfen hochgeladene Dateien und bieten ein Maß an Sicherheit, das Links auf Discord oder MediaFire nicht gewährleisten können. Für Projekte, die nur auf GitHub existieren, gilt: ausschließlich die Seite des authentischen Repositorys verwenden und dabei URL sowie vorhandene signierte Releases überprüfen.

Einen spezifischen Patch für WeedHack gibt es nicht: Es handelt sich um Malware, nicht um eine Schwachstelle in einem Softwareprodukt. Die Versionen der betroffenen Clients wurden nicht bekannt gegeben, da die Kampagne zahlreiche Tools imitiert. Wer in den letzten Monaten Clients oder Mods von verdächtigen Seiten heruntergeladen hat, sollte umgehend die Passwörter der wichtigsten Dienste ändern, die Zwei-Faktor-Authentifizierung aktivieren und Kryptowährungs-Wallets auf nicht autorisierte Transaktionen prüfen. Ungewöhnliche Prozesse oder unbegründete Zugriffsanfragen der Webcam können auf eine laufende Infektion hinweisen.

Der Fall WeedHack zeigt, dass ein isolierter Takedown des C2-Servers nicht ausreicht, um eine Kampagne zu stoppen, die über Dutzende Kanäle verteilt und durch Blockchain-basierte Resilienztechniken gestützt wird. Die Abschaltung im Juli beseitigte das Dashboard der Angreifer, die Verbreitung geht jedoch weiter. Das Monitoring durch McAfee WebAdvisor und die Meldung gefälschter Seiten bleiben derzeit die wirksamsten Instrumente, um die Ausbreitung einzudämmen.