今週、公開SMPサーバーで不公平な優位性を得ようと探していたなら、代わりに自分のマシン全体を危険にさらしていたかもしれません。サイバーセキュリティ分析者は、新たに登録されたキャンペーンを確認しました。このキャンペーンは、 donutsmpcheats.orgで活動し、人気の DonutSMP ハードコアサーバーコミュニティ向けのユーティリティ兼クライアント集約サイトを装った不正なダウンロードポータルを運営していました。
無害なハックやクライアント側ユーティリティを提供するどころか、このドメインはLiquidBounce、Meteor、Wurstなどの人気クライアントを模倣した、7種類のJavaアーカイブ（.jar）ペイロードをホストしていました。実際には、各ファイルにSilentNet情報窃取マルウェアが仕込まれており、ファイルがプレイヤーのmodsフォルダーに置かれた瞬間にセッションデータを外部へ流出させるよう設計されていました。
SilentNetの罠が仕掛けられた手口
不正利用のデータベース URLhausに記録された調査情報によると、このキャンペーンは2026年9月に始まり、その後、積極的な配布へと移行しました。脅威アクターは、サーバー固有の優位性を得られるパックを探すプレイヤーを標的にし、glazed-addonやkrypton-clientといった名称を使って、盗用したブランドの信頼性を利用していました。
Minecraft Java Editionで読み込まれると、SilentNetは直ちにホスト環境を調べます。ペイロードはデフォルトのランチャーディレクトリから有効なセッション・トークンを抜き出し、Discordの認証トークンを盗み、ChromiumおよびGecko系ブラウザーに保存されたパスワードとCookieを取得したうえで、コマンド用インフラへビーコンを送信します。
セキュリティ関連のリスト掲載を受けてDNSの停止措置が取られ、配布ドメインは10月8日にアクセスできなくなりました。しかし、感染したプレイヤーにとって危険が去ったわけではありません。マルウェアは実行後、元のホストサイトとは独立して動作するため、アカウント保有者が自らセッションを無効化し、他の端末でも認証キーをリセットしない限り、侵害されたトークンは有効なままです。
出典
