Si vous avez cherché cette semaine à obtenir un avantage déloyal sur des serveurs SMP publics, vous avez peut-être plutôt livré toute votre machine. Des analystes en cybersécurité ont signalé une campagne récemment enregistrée, opérant à l’adresse donutsmpcheats.org, un portail de téléchargement malveillant se faisant passer pour un espace d’utilitaires et de clients destiné à la populaire communauté du serveur hardcore DonutSMP .
Au lieu de proposer des hacks inoffensifs ou des utilitaires côté client, le domaine hébergeait sept fichiers Java distincts (.jar) qui imitaient des clients populaires comme LiquidBounce, Meteor et Wurst. En coulisses, chaque fichier était transformé en arme avec le voleur d’informations SilentNet, conçu pour exfiltrer les données de session dès que le fichier était placé dans le dossier de mods d’un joueur.
Comment le piège SilentNet s’est refermé
Selon les entrées de recherche consignées dans la base de données d’abuse.ch URLhaus, la campagne a été lancée en septembre 2026 avant de passer à une diffusion intensive. Les acteurs malveillants ont ciblé les joueurs à la recherche de packs d’avantages propres à certains serveurs, en associant la crédibilité de marques usurpées à des noms comme glazed-addon et krypton-client.
Une fois chargé par Minecraft Java Edition, SilentNet inspecte immédiatement l’environnement de la machine hôte. Le fichier malveillant extrait les jetons de session actifs du répertoire par défaut du lanceur, dérobe les jetons d’authentification Discord et récupère les mots de passe et cookies enregistrés dans les navigateurs Chromium et Gecko, avant d’envoyer des signaux à son infrastructure de commande.
Le domaine de distribution a été mis hors ligne le 8 octobre après que des signalements de sécurité ont entraîné la suspension de son DNS, mais le danger est loin d’être écarté pour les joueurs infectés. Comme le logiciel malveillant fonctionne indépendamment du site hôte initial une fois exécuté, les jetons compromis restent valides jusqu’à ce que les titulaires des comptes invalident activement leurs sessions et réinitialisent leurs clés d’authentification sur leurs autres appareils.
Source
Source
Source
