Wer diese Woche auf öffentlichen SMP-Servern nach unfairen Vorteilen gesucht hat, könnte stattdessen seinen gesamten Rechner preisgegeben haben. Cybersicherheitsanalysten wiesen auf eine neu registrierte Kampagne hin, die unter donutsmpcheats.orgoperierte – einem betrügerischen Download-Portal, das sich als Dienstprogramm- und Client-Hub für die beliebte DonutSMP Hardcore-Server-Community ausgab.
Anstatt harmlose Hacks oder clientseitige Dienstprogramme anzubieten, hostete die Domain sieben verschiedene Java-Archive (.jar), die beliebte Clients wie LiquidBounce, Meteor und Wurst nachahmten. Im Hintergrund war jede Datei mit dem Infostealer SilentNet präpariert, der darauf ausgelegt ist, Sitzungsdaten zu exfiltrieren, sobald die Datei im Mods-Ordner eines Spielers landet.
Wie die SilentNet-Falle zuschnappte
Laut den Einträgen aus der Recherche in der Datenbank von abuse.ch URLhaus, wurde die Kampagne im September 2026 gestartet, bevor sie in die aggressive Verbreitung überging. Die Bedrohungsakteure nahmen Spieler ins Visier, die nach serverbezogenen Vorteilspaketen suchten, und nutzten mit Namen wie glazed-addon und krypton-client die Glaubwürdigkeit bekannter Marken aus.
Sobald SilentNet von Minecraft Java Edition geladen wird, durchsucht es sofort die Host-Umgebung. Die Schadsoftware extrahiert aktive Sitzungstokens aus dem Standardverzeichnis des Launchers, stiehlt Discord-Authentifizierungstokens und greift gespeicherte Passwörter und Cookies aus Chromium- und Gecko-Browsern ab, bevor sie ein Signal an ihre Command-Infrastruktur sendet.
Obwohl die Verteilungsdomain am 8. Oktober offline ging, nachdem Sicherheitseinträge DNS-Abschaltungen ausgelöst hatten, ist die Gefahr für infizierte Spieler längst nicht gebannt. Da die Malware nach ihrer Ausführung unabhängig von der ursprünglichen Hosting-Website arbeitet, bleiben kompromittierte Tokens gültig, bis Kontoinhaber die Sitzungen aktiv ungültig machen und die Authentifizierungsschlüssel auf weiteren Geräten zurücksetzen.
Quelle
Quelle
Quelle
