Discordサーバーで「動作が軽くなる」「限定MODが使える」と言われて、適当なMinecraftクライアントをインストールしたことがあるなら、まさにこうした理由からやめるべきだ。セキュリティ研究者が Netskope 新たなPython製RATについての報告を公開した。このマルウェアは、本物らしく見せるために「Nursultan Client」という名前を使っている。この名前は、ロシアや東ヨーロッパの界隈で人気のある実在のコミュニティ製クライアントのものだ。そのため、ソーシャルエンジニアリングの手口が見事にはまってしまう。
このマルウェアは、何かひとつ盗んで消えるだけではない。Windowsレジストリに同じ名前で登録して永続化し、Telegramボットからの指令を待つ。攻撃者はスクリーンショットの撮影、ウェブカメラの起動、任意のウェブページの表示、さらにはローカルストレージからDiscordトークンを直接抜き取るよう命令できる。プレイヤーが建築やPvPに夢中になっている間、これらはすべてひそかに実行される。
偽のインストーラーには、通常のMinecraftランチャーを装う画面上のメッセージまで表示される。そこまで手をかけているからこそ、何も考えずにクリックする人だけでなく、危険を知っているのに午前2時にリンクをクリックしてしまう人にも実際に通用する。
- レジストリキーや偽のセットアップ画面に、本物のNursultan Clientの名称を使用
- コマンド＆コントロールにTelegram Bot APIを使用し、独自サーバーは不要
- Discordトークン、スクリーンショット、ウェブカメラ画像を盗み、攻撃者が指定したURLを開くことも可能
- 再起動後も永続化する
- MaaSとして転売する目的で作られたとみられる
公式ランチャーとModrinthまたはCurseForgeを利用しているJava Editionプレイヤーは、ほぼ安全だ。危険性が急増するのは、性能向上MODやハッククライアント、あるいは適当な配布元の「無料マント」ダウンロードを追い求めたときだ。2026年初頭にトークンを盗んだ一連の攻撃と同じパターンだが、Telegram風の新しい装いをまとっている。
既知のMinecraftクライアントの名前を使うのは、特にゲーマーをだますための明白なソーシャルエンジニアリングの手口だ。
Netskopeのシニアセキュリティ研究者、Nikhil Hegde氏は公式分析でこう述べている。報告書には、侵害の痕跡（IOC）と、エンドポイント保護を利用している人向けの検出ガイダンスが含まれている。結論はこうだ。自分でコンパイルしたものでない限り、Nursultan Clientを名乗るものはすべて削除し、出所不明の実行ファイルにDiscordのセッションを渡すのはやめよう。
