Si vous avez déjà installé un client Minecraft trouvé au hasard parce qu’un serveur Discord vous promettait de meilleures performances ou des mods exclusifs, voilà exactement pourquoi vous ne devriez pas le faire. Les chercheurs en sécurité de Netskope viennent de publier un rapport sur un nouveau RAT Python qui utilise le nom « Nursultan Client » pour paraître légitime. Ce nom appartient à un véritable client communautaire populaire dans les milieux russes et d’Europe de l’Est, ce qui rend cette technique d’ingénierie sociale particulièrement efficace.
Le logiciel malveillant ne se contente pas de voler une seule chose avant de disparaître. Il s’inscrit sous le même nom dans le registre Windows pour assurer sa persistance, puis attend les commandes d’un bot Telegram. Les opérateurs peuvent lui ordonner de prendre des captures d’écran, d’activer la webcam, d’ouvrir des pages Web quelconques ou d’extraire les jetons Discord directement du stockage local. Tout cela se déroule discrètement pendant que vous êtes occupé à construire ou à faire du PvP.
Le faux installateur affiche même à l’écran des messages qui donnent l’impression d’un lanceur Minecraft ordinaire. C’est ce niveau de préparation qui distingue les logiciels malveillants distribués à la volée de ceux qui parviennent réellement à piéger des personnes pourtant avisées, mais qui cliquent quand même sur le lien à 2 heures du matin.
- Utilise le véritable nom Nursultan Client dans les clés de registre et le faux texte d’installation
- Utilise l’API Telegram Bot pour le contrôle et la commande, sans serveur personnalisé nécessaire
- Vole des jetons Discord, des captures d’écran et des images de webcam, et peut ouvrir les URL choisies par l’attaquant
- La persistance est conservée après les redémarrages
- Semble conçu pour être revendu sous forme de MaaS
Les joueurs de Java Edition qui s’en tiennent aux lanceurs officiels et à Modrinth ou CurseForge sont relativement à l’abri. Le danger augmente dès que vous cherchez des mods de performances, des clients de triche ou des téléchargements de « cape gratuite » provenant de sources aléatoires. C’est le même schéma que celui des précédentes vagues de vol de jetons en 2026, simplement repeint aux couleurs de Telegram.
L’utilisation du nom d’un client Minecraft connu est une tactique d’ingénierie sociale manifeste visant à tromper les victimes, en particulier les joueurs.
Nikhil Hegde, chercheur principal en sécurité chez Netskope, dans l’analyse officielle. Le rapport comprend des indicateurs de compromission et des conseils de détection destinés à toute personne utilisant une solution de protection des terminaux. En résumé : supprimez tout ce qui se présente comme Nursultan Client, sauf si vous l’avez compilé vous-même, et cessez de confier votre session Discord à des exécutables trouvés au hasard.
Actualités
