WeedHack survit au démantèlement : les faux sites Minecraft continuent de diffuser l'infostealer

La campagne de malware-as-a-service WeedHack ne s'est pas arrêtée avec la désactivation de son serveur de commande et contrôle. Fin août 2026, dix sites malveillants et plusieurs comptes d'hébergement de fichiers restent actifs et continuent de distribuer l'infostealer déguisé en client et en mods pour Minecraft. C'est ce que signale McAfee Labs dans un rapport de suivi publié le 25 août, près de deux mois après la première intervention qui avait mis hors ligne le tableau de bord des attaquants.

Un service criminel à bas coût

WeedHack a été observé pour la première fois début juin 2026 par le chercheur McAfee Aayush Tyagi, mais l'opération était déjà active depuis janvier. En six mois, il a infecté 116 464 systèmes, à un rythme de 2 000 à 3 000 nouvelles victimes par jour. Le service fonctionnait selon un modèle à deux niveaux : un niveau gratuit accessible avec un compte Discord, et un niveau premium à 5 dollars par mois qui ajoutait la surveillance via la webcam. Les opérateurs disposaient d'un tableau de bord pour visualiser les identifiants volés, configurer des charges utiles personnalisées et surveiller les victimes en temps réel.

Après la publication du rapport initial au cours de la première semaine de juillet 2026, le serveur C2 a été désactivé. Le tableau de bord n'est plus accessible, mais les sites de distribution sont restés opérationnels. Au cours des trente derniers jours, McAfee WebAdvisor a bloqué plus de 6 300 tentatives d'accès à ces domaines.

La tromperie passe par les moteurs de recherche et les communautés

La diffusion de WeedHack exploite une faiblesse structurelle du modding de Minecraft : de nombreux outils populaires n'ont pas de site officiel, mais seulement des pages GitHub et des serveurs Discord. Les attaquants créent des faux sites détaillés et convaincants, en copiant les fonctionnalités, les FAQ, les instructions d'installation, les informations sur les développeurs et même les liens vers les dépôts GitHub légitimes.

Le positionnement dans les moteurs de recherche joue un rôle clé. Pour la requête « Xenon Client », les deux premiers résultats Google menaient à des faux sites qui distribuaient WeedHack, avec des guides d'installation, des téléchargements gratuits et payants, et des liens vers le dépôt réel. Nova-client.com est un cas exemplaire : le client n'a pas de site officiel, et le domaine frauduleux se positionnait au-dessus du dépôt GitHub authentique. 22qq-client.com fait de même pour un mod Crystal PVP.

La campagne a également abusé de communautés de confiance comme Planet Minecraft et EndMods, rendant les escroqueries plus difficiles à reconnaître. Un canal Discord qui promouvait de faux clients de DonutSMP a dépassé les 1 900 membres, tandis qu'un autre site proposait huit mods différents qui distribuaient tous le même malware.

Canaux de distribution et confiance des utilisateurs

La majorité des liens malveillants provenait de Discord, qui a généré à lui seul 49,6 % des téléchargements. Suivent MediaFire avec 23,4 %, GitHub avec 8,2 % et Dropbox avec 4,6 %. Ces chiffres indiquent que les attaquants ciblent les canaux où les joueurs échangent habituellement des mods et des clients, en exploitant la confiance dans les plateformes d'hébergement de fichiers et les serveurs communautaires.

L'utilisation de services légitimes pour héberger les charges utiles rend plus difficile le blocage au niveau de l'infrastructure. De plus, un site de la campagne a été construit avec lovable.app, une plateforme de développement web basée sur l'intelligence artificielle qui accepte des instructions en langage naturel. Cela réduit à presque zéro les coûts et les compétences techniques nécessaires pour lancer un nouveau faux site de jeu, accélérant le cycle de vie des pages de distribution.

Comment le malware maintient le contact : EtherHiding

WeedHack vole des cookies de session, des mots de passe, des données de navigateur et le contenu de portefeuilles de cryptomonnaie. Pour maintenir le contact avec l'infrastructure même lorsque des serveurs individuels étaient mis hors ligne, les développeurs ont adopté EtherHiding, une technique qui récupère l'adresse du serveur actif depuis la blockchain Ethereum. Concrètement, la charge utile interroge la blockchain pour obtenir la nouvelle adresse C2, rendant inefficace la simple suppression d'un domaine ou d'une adresse IP spécifique.

Cette résilience explique pourquoi la désactivation du serveur principal n'a pas arrêté la distribution. Les faux sites continuent de fonctionner et de servir le malware, qui cherche à son tour le nouveau point de contact sur la blockchain. On ignore si les opérateurs d'origine sont toujours aux commandes ou si l'infrastructure est passée à d'autres, mais la campagne reste active.

Indices pour reconnaître les faux sites

Les chercheurs ont identifié quelques indicateurs utiles pour démasquer les pages d'usurpation. Sur nova-client.com, la section des crédits énumère des noms d'équipe génériques au lieu des véritables développeurs, un détail qui échappe souvent à une lecture superficielle. En général, les faux sites ont tendance à être plus soignés que ce à quoi on s'attendrait d'un projet open source sans site officiel : ils incluent des FAQ, des guides d'installation et des téléchargements payants, des éléments que les dépôts GitHub authentiques n'offrent pas.

La présence d'un bouton « télécharger » sur un site qui n'est pas le dépôt officiel du développeur devrait éveiller les soupçons. Il en va de même pour les liens partagés sur Discord ou MediaFire qui promettent des versions « premium » ou « crackées » de clients gratuits. Si un outil demande de désactiver l'antivirus, il doit être traité comme un malware, sans exception.

Les recommandations de McAfee

McAfee recommande de télécharger des mods et des clients uniquement depuis les dépôts officiels des développeurs ou depuis des plateformes de confiance comme Modrinth et CurseForge. Ces dernières effectuent des contrôles sur les fichiers téléversés et offrent un niveau de garantie que les liens partagés sur Discord ou MediaFire ne peuvent pas fournir. Pour les projets qui n'existent que sur GitHub, le conseil est d'utiliser exclusivement la page du dépôt authentique, en vérifiant l'URL et la présence de versions signées.

Il n'existe pas de correctif spécifique pour WeedHack : il s'agit d'un malware, pas d'une vulnérabilité dans un produit logiciel. Les versions des clients concernés n'ont pas été communiquées, car la campagne usurpe de multiples outils. Toute personne ayant téléchargé des clients ou des mods depuis des sites suspects au cours des derniers mois devrait immédiatement changer les mots de passe des services les plus importants, activer l'authentification à deux facteurs et vérifier les portefeuilles de cryptomonnaie pour détecter d'éventuelles transactions non autorisées. La présence de processus anormaux ou de demandes d'accès à la webcam sans raison peut indiquer une infection en cours.

L'affaire WeedHack montre qu'un démantèlement isolé du serveur C2 ne suffit pas à arrêter une campagne distribuée via des dizaines de canaux et soutenue par des techniques de résilience fondées sur la blockchain. La désactivation de juillet a éliminé le tableau de bord des attaquants, mais la distribution continue. La surveillance de McAfee WebAdvisor et le signalement des faux sites restent pour l'instant les outils les plus efficaces pour limiter la propagation.