WeedHack, LofyStealer und die Malware-Welle in Minecraft-Mods 2026: So funktioniert sie und so schützt du dich

Aktualisiert November 12, 2026

Eine einzige Malware-Operation hat 2026 die PCs von mehr als 116.000 Minecraft-Spielern infiziert, und sie war nur die größte von mehreren. So funktioniert die Malware-Welle in Mods und Cheat-Clients, wer dahintersteckt und wie du deinen PC da raushältst.

Update, 12. November: Die Welle hat Server-Plugins erreicht. Ein unabhängiger Scanner fand Malware in mindestens sieben Bukkit- und Paper-Plugins, darunter ein nachgemachtes LagFixer und ein Mace-SMP-Plugin hinter einer falschen bStats-Adresse, dazu 12 gefälschte Prism-, HMCL- und Minecraft-Launcher-Seiten, die Fernzugriff installieren. Zur ganzen Geschichte mit Server-Checkliste.

Stell dir vor, du lädst etwas herunter, das wie Meteor Client oder Wurst aussieht, von einer Seite ganz oben bei Google. Das Video-Tutorial, das dich dorthin geschickt hat, wirkt seriös, und das Jar startet sogar. Währenddessen gehören deine Minecraft-Sitzung, dein Discord-Token, deine gespeicherten Passwörter und deine Webcam jemand anderem. Das ist das Geschäftsmodell von WeedHack, der größten je dokumentierten Malware-Operation gegen Minecraft-Spieler, und sie lief monatelang, bevor es jemand bemerkte.

• 116.464Von WeedHack infizierte PCs, Januar bis Juni 2026
• 2–3KNeue WeedHack-Opfer pro Tag zur Hochphase
• 5 $Einstiegspreis pro Monat zur Miete, laut Berichten
• 10+Gefälschte Client-Seiten nach der Zerschlagung noch online

Warum diese Welle anders ist

• Es ist ein Produkt, kein Einzeltäter. WeedHack ist Malware-as-a-Service. Kunden bekommen ein Web-Dashboard mit ihren Opfern, den gestohlenen Daten und einem Payload-Builder für Minecraft 1.21.x, dazu Tutorials zur Verbreitung.
• Es versteckt sich in echten Mods. Der Builder kann den Stealer in legitime Mod-Jars einschleusen, sodass die Mod weiter funktioniert, während im Hintergrund gestohlen wird.
• Es zielt auf Nutzer von Cheat-Clients. McAfees Liste der nachgeahmten Tools umfasst Meteor, Wurst, LiquidBounce, Aristois, Impact, Future, Inertia und weitere.
• Es hat eine Zerschlagung überlebt. Die Steuerserver wurden Mitte 2026 gestört, doch im August stellte McAfee fest, dass das Verteilnetz weiterlief, verlagert auf Discord, MediaFire und KI-generierte Fake-Client-Seiten, die bei Google weit oben standen.
• Es verbreitet sich auch per USB. Rund 9.000 Infektionen kamen über USB-Sticks und andere Wechselmedien.

Die Kampagnen, die Minecraft-Spieler 2026 getroffen haben

LofyGang ist eine brasilianische Cybercrime-Gruppe, die über drei Jahre lang still war, bevor sie mit dem Slinky-Köder zurückkehrte, wie The Hacker News berichtete. Forscher von Dark Atlas verfolgten WeedHacks Wurzeln bis zu einem privaten Stealer namens Majanito Ende 2025 zurück, bevor er umbenannt und offen verkauft wurde.

Malware auf CurseForge und Modrinth: der Oktober-Fund 2026

Offizielle Mod-Seiten sind sicherer als beliebige Download-Seiten, aber nicht sauber. Zwischen dem 20. und 24. Oktober 2026 meldete Modgrade, eine Seite, die Minecraft-Mods und -Plugins scannt, 34 Projekte, die noch online waren, auf CurseForge und Modrinth mit Malware darin. Alle wurden inzwischen entfernt.

• Utility-Mods, die deinen Login stahlen. Full Bright, TooManyTools und Slimagar auf CurseForge schickten Minecraft-Sitzungen der Spieler (bei Full Bright auch Discord-Tokens) an einen fremden Server. Dungeons Extras nahm zusätzlich gespeicherte Browser-Passwörter mit.
• Server-Plugins mit Minern. PGCVisibility, ein Paper-Plugin auf Modrinth, versteckte einen Krypto-Miner. SimpleHomePlugin enthielt Code, der bStats imitierte, ein bekanntes Zeichen einer Plugin-Malware-Kampagne.
• Erst sauber, später vergiftet. Am 27. Oktober entfernte Modrinth sechs weitere kleine Mods, nachdem ein Forscher bemerkt hatte, dass sie ein „Update“ von einer externen Seite luden. Modgrade fand ihre 1.0.0-Dateien sauber. Die 1.0.1-Dateien installierten eine passwortstehlende Browsererweiterung.

Diesen letzten Trick solltest du dir merken: Eine Mod kann beim Hinzufügen harmlos sein und mit einem späteren Update bösartig werden. Wenn du kleine oder neue Mods nutzt, prüf den Mods-Ordner nach Updates, nicht nur einmal.

So prüfst du dich und bleibst sicher

1. Lade Mods nur von Modrinth oder CurseForge und Clients nur von der offiziellen Seite des Entwicklers oder von GitHub. Tipp die Adresse selbst ein, statt einer Suchanzeige, einem Top-Suchergebnis oder einer Videobeschreibung zu vertrauen.
2. Behandle „kostenlose“ Bezahl-Clients und gecrackte Cheats als Malware. Sie sind der Hauptköder.
3. Sei misstrauisch bei Dateien von Freunden, vor allem Modpacks, Launchern und .exe-Dateien, auch von Konten, denen du vertraust. Gehackte Freundeskonten sind der Weg, auf dem sich diese Kampagnen verbreiten.
4. Scanne deinen PC, wenn du dieses Jahr Mods oder Clients von Drittanbietern installiert hast, und ändere danach deine Microsoft- und Discord-Passwörter von einem sauberen Gerät aus und melde alle Sitzungen ab.
5. Speichere keine Passwörter oder Karten im Browser auf einem Rechner, auf dem du auch Mods testest.

Für die Tricks auf Discord-Seite, etwa gefälschte Verifizierungslinks und Freundes-DMs, sieh dir unseren Ratgeber zu Discord-Betrug an.

Serverbetreiber: Plugins mit Hintertür

Spieler sind nicht die einzigen Ziele. Im Mai 2026 berichtete YouTuber KasaiSora, dass NameTags, ein Server-Plugin mit rund 15.000 Modrinth-Downloads, einen versteckten Loader enthielt, der Code von der Seite des Entwicklers nachlud und einem bestimmten Konto Operator-Rechte geben konnte. Laut dem Bericht entfernte Modrinth die Projekte des Entwicklers nach Prüfung des Codes, doch bStats zeigte weiterhin rund 900 Server mit dem Plugin. Diese Zahlen stammen aus dem Video, und wir konnten sie nicht unabhängig überprüfen.

• Entferne jedes Plugin, das wegen Malware von Modrinth oder Hangar genommen wurde, und installiere es nicht von der Seite des Entwicklers neu.
• Prüfe ops.json und dein Rechte-Plugin auf Konten, die du nicht kennst.
• Bevorzuge Open-Source-Plugins mit aktiver Historie und sei vorsichtig bei Plugins, die zur Laufzeit Code herunterladen.

Wie es weitergeht

Die Zerschlagung hat WeedHack nicht gestoppt, weil die Betreiber ein Verteilnetz betreiben, nicht eine einzelne Seite. Solange Spieler nach kostenlosen Cheat-Clients suchen, werden diese Kampagnen immer neue Verkleidungen liefern. Die sicherste Regel hat sich nicht geändert: Wenn ein Download etwas umsonst verspricht, das sonst Geld kostet, oder dir einen Vorteil verschafft, den du nicht haben solltest, geh davon aus, dass er dich dein Konto kostet.