WeedHack sopravvive al takedown: i falsi siti Minecraft diffondono ancora l'infostealer

La campagna malware-as-a-service WeedHack non si è fermata con la disattivazione del suo server di comando e controllo. A fine agosto 2026, dieci siti malevoli e diversi account di file-hosting restano attivi e continuano a distribuire l'infostealer mascherato da client e mod per Minecraft. Lo segnala McAfee Labs in un rapporto di follow-up pubblicato il 25 agosto, a quasi due mesi dal primo intervento che aveva spento la dashboard degli attaccanti.

Un servizio criminale a basso costo

WeedHack è stato osservato per la prima volta all'inizio di giugno 2026 dal ricercatore McAfee Aayush Tyagi, ma l'operazione era già attiva da gennaio. In sei mesi ha infettato 116.464 sistemi, con un ritmo di 2.000-3.000 nuove vittime al giorno. Il servizio funzionava con un modello a due livelli: uno gratuito accessibile con un account Discord, e uno premium da 5 dollari al mese che aggiungeva la sorveglianza tramite webcam. Gli operatori disponevano di una dashboard per visualizzare le credenziali rubate, configurare payload personalizzati e monitorare le vittime in tempo reale.

Dopo la pubblicazione del rapporto originale nella prima settimana di luglio 2026, il server C2 è stato disattivato. La dashboard non è più raggiungibile, ma i siti di distribuzione sono rimasti operativi. Negli ultimi trenta giorni McAfee WebAdvisor ha bloccato oltre 6.300 tentativi di accesso a questi domini.

L'inganno passa dai motori di ricerca e dalle community

La diffusione di WeedHack sfrutta una debolezza strutturale del modding di Minecraft: molti strumenti popolari non hanno un sito ufficiale, ma solo pagine GitHub e server Discord. Gli attaccanti creano siti falsi dettagliati e convincenti, copiando funzionalità, FAQ, istruzioni di installazione, informazioni sugli sviluppatori e persino i link ai repository GitHub legittimi.

Il posizionamento nei motori di ricerca gioca un ruolo chiave. Per la query "Xenon Client", i primi due risultati Google portavano a siti falsi che distribuivano WeedHack, completi di guide di installazione, download gratuiti e a pagamento, e collegamenti al repository reale. Nova-client.com è un caso esemplare: il client non ha un sito ufficiale, e il dominio fake si posizionava sopra il repository GitHub autentico. 22qq-client.com fa lo stesso per un mod Crystal PVP.

La campagna ha anche abusato di community fidate come Planet Minecraft ed EndMods, rendendo le truffe più difficili da riconoscere. Un canale Discord che promuoveva client falsi di DonutSMP ha superato i 1.900 membri, mentre un altro sito offriva otto mod diversi che distribuivano tutti lo stesso malware.

Canali di distribuzione e fiducia degli utenti

La maggior parte dei link malevoli proveniva da Discord, che da solo ha generato il 49,6% dei download. Seguono MediaFire con il 23,4%, GitHub con l'8,2% e Dropbox con il 4,6%. Questi numeri indicano che gli attaccanti puntano sui canali dove i giocatori si scambiano abitualmente mod e client, sfruttando la fiducia nelle piattaforme di file-hosting e nei server di community.

L'uso di servizi legittimi per ospitare i payload rende più difficile il blocco a livello di infrastruttura. Inoltre, un sito della campagna è stato costruito con lovable.app, una piattaforma di sviluppo web basata su intelligenza artificiale che accetta istruzioni in linguaggio naturale. Questo riduce a quasi zero i costi e le competenze tecniche necessarie per lanciare un nuovo sito di gioco falso, accelerando il ciclo di vita delle pagine di distribuzione.

Come il malware mantiene il contatto: EtherHiding

WeedHack ruba cookie di sessione, password, dati del browser e contenuti di portafogli di criptovaluta. Per mantenere il contatto con l'infrastruttura anche quando singoli server venivano spenti, gli sviluppatori hanno adottato EtherHiding, una tecnica che recupera l'indirizzo del server attivo dalla blockchain Ethereum. In pratica, il payload interroga la blockchain per ottenere il nuovo indirizzo C2, rendendo inefficace la semplice rimozione di un dominio o di un IP specifico.

Questa resilienza spiega perché la disattivazione del server principale non ha fermato la distribuzione. I siti fake continuano a funzionare e a servire il malware, che a sua volta cerca il nuovo punto di contatto sulla blockchain. Non è noto se gli operatori originali siano ancora al comando o se l'infrastruttura sia passata ad altri, ma la campagna resta attiva.

Segnali per riconoscere i siti falsi

I ricercatori hanno identificato alcuni indicatori utili per smascherare le pagine di impersonificazione. Su nova-client.com, la sezione crediti elenca nomi generici di team invece dei veri sviluppatori, un dettaglio che spesso sfugge a una lettura superficiale. In generale, i siti falsi tendono a essere più curati di quanto ci si aspetterebbe da un progetto open source senza sito ufficiale: includono FAQ, guide di installazione e download a pagamento, elementi che i repository GitHub autentici non offrono.

La presenza di un pulsante "download" su un sito che non è il repository ufficiale dello sviluppatore dovrebbe insospettire. Lo stesso vale per i link condivisi su Discord o MediaFire che promettono versioni "premium" o "crackate" di client gratuiti. Se uno strumento chiede di disattivare l'antivirus, va trattato come malware, senza eccezioni.

Le raccomandazioni di McAfee

McAfee raccomanda di scaricare mod e client solo da repository ufficiali degli sviluppatori o da piattaforme attendibili come Modrinth e CurseForge. Queste ultime effettuano controlli sui file caricati e offrono un livello di garanzia che i link condivisi su Discord o MediaFire non possono fornire. Per i progetti che esistono solo su GitHub, il consiglio è di usare esclusivamente la pagina del repository autentico, verificando l'URL e la presenza di release firmate.

Non esiste una patch specifica per WeedHack: si tratta di un malware, non di una vulnerabilità in un prodotto software. Le versioni dei client coinvolti non sono state rese note, perché la campagna impersona molteplici strumenti. Chi ha scaricato client o mod da siti sospetti negli ultimi mesi dovrebbe cambiare immediatamente le password dei servizi più importanti, attivare l'autenticazione a due fattori e controllare i portafogli di criptovaluta per transazioni non autorizzate. La presenza di processi anomali o di richieste di accesso alla webcam senza motivo può indicare un'infezione in corso.

La vicenda WeedHack mostra come un takedown isolato del server C2 non basti a fermare una campagna distribuita attraverso decine di canali e sostenuta da tecniche di resilienza basate su blockchain. La disattivazione di luglio ha eliminato la dashboard degli attaccanti, ma la distribuzione continua. Il monitoraggio di McAfee WebAdvisor e la segnalazione dei siti falsi restano al momento gli strumenti più efficaci per limitare la diffusione.