Wenn du schon einmal einen beliebigen Minecraft-Client installiert hast, weil ein Discord-Server bessere Leistung oder exklusive Mods versprach, ist genau das der Grund, warum du es nicht tun solltest. Sicherheitsforscher von Netskope haben gerade einen Bericht über einen neuen Python-RAT veröffentlicht, der den Namen „Nursultan Client“ verwendet, um seriös zu wirken. Dieser Name gehört zu einem echten Community-Client, der in russischen und osteuropäischen Kreisen beliebt ist. Das macht die Social-Engineering-Masche besonders überzeugend.
Die Malware stiehlt nicht nur eine Sache und verschwindet dann. Sie trägt sich unter demselben Namen in die Windows-Registrierung ein, um dauerhaft aktiv zu bleiben, und wartet anschließend auf Befehle von einem Telegram-Bot. Die Betreiber können sie dazu bringen, Screenshots aufzunehmen, die Webcam einzuschalten, beliebige Webseiten zu öffnen oder Discord-Tokens direkt aus dem lokalen Speicher auszulesen. All das geschieht unbemerkt, während du gerade baust oder PvP spielst.
Der gefälschte Installer zeigt sogar Bildschirmmeldungen an, die einen normalen Minecraft-Launcher vortäuschen. Dieser Aufwand unterscheidet plumpe Massenangriffe von etwas, das auch bei Menschen funktioniert, die es eigentlich besser wissen – aber um zwei Uhr nachts trotzdem auf den Link klicken.
- Verwendet den echten Namen Nursultan Client in Registrierungsschlüsseln und gefälschten Setup-Texten
- Verwendet die Telegram Bot API zur Befehls- und Kontrollkommunikation; ein eigener Server ist nicht nötig
- Stiehlt Discord-Tokens und Screenshots, nimmt Webcam-Bilder auf und kann vom Angreifer ausgewählte URLs öffnen
- Die Persistenz bleibt auch nach einem Neustart erhalten
- Scheint für den Weiterverkauf als MaaS entwickelt worden zu sein
Spieler der Java Edition, die sich an offizielle Launcher und Modrinth oder CurseForge halten, sind größtenteils sicher. Das Risiko steigt deutlich, sobald man nach Performance-Mods, gehackten Clients oder „kostenlosen Umhängen“ aus beliebigen Quellen sucht. Dasselbe Muster wie bei den früheren Wellen zum Token-Diebstahl im Jahr 2026 – nur mit einem frischen Telegram-Anstrich.
Die Verwendung des Namens eines bekannten Minecraft-Clients ist eine klare Social-Engineering-Masche, um Opfer zu täuschen, insbesondere Gamer.
Nikhil Hegde, leitender Sicherheitsforscher bei Netskope, in der offiziellen Analyse. Der Bericht enthält Indikatoren für eine Kompromittierung und Erkennungshinweise für alle, die Endpoint-Schutz einsetzen. Fazit: Lösche alles, was sich Nursultan Client nennt, sofern du es nicht selbst kompiliert hast, und überlasse beliebigen ausführbaren Dateien nicht länger deine Discord-Sitzung.
Nachrichten
