WeedHack, LofyStealer e a onda de malware em mods de Minecraft de 2026: como funciona e como se proteger

Atualizado November 12, 2026

Uma única operação de malware infectou os PCs de mais de 116 mil jogadores de Minecraft em 2026, e foi só a maior de várias. Veja como funciona a onda de malware em mods e clientes de cheat, quem está por trás e como manter seu PC longe dela.

Atualização, 12 de novembro: a onda chegou aos plugins de servidor. Um scanner independente encontrou malware em pelo menos sete plugins de Bukkit e Paper, incluindo um LagFixer imitador e um plugin de Mace SMP escondido atrás de um endereço falso do bStats, além de 12 sites falsos do Prism, HMCL e Minecraft Launcher que instalam acesso remoto. Leia a matéria completa e o checklist para servidores.

Imagine baixar o que parece ser o Meteor Client ou o Wurst de um site que aparece no topo do Google. O tutorial em vídeo que te levou até lá parece legítimo, e o jar até abre. Enquanto isso, sua sessão do Minecraft, seu token do Discord, suas senhas salvas e sua webcam pertencem a outra pessoa. Esse é o modelo de negócio do WeedHack, a maior operação de malware contra Minecraft já documentada, e ela funcionou por meses antes que alguém percebesse.

• 116.464PCs infectados pelo WeedHack de janeiro a junho de 2026
• 2–3 milNovas vítimas do WeedHack por dia no pico
• US$ 5Preço mensal inicial para alugá-lo, segundo relatos
• 10+Sites de clientes falsos ainda no ar após a derrubada

Por que esta onda é diferente

• É um produto, não um hacker solitário. O WeedHack é malware como serviço. Os clientes recebem um painel web com suas vítimas, os dados roubados e um gerador de payloads para Minecraft 1.21.x, além de tutoriais para espalhá-lo.
• Ele se esconde dentro de mods reais. O gerador consegue injetar o ladrão em jars de mods legítimos, então o mod continua funcionando enquanto o roubo acontece em segundo plano.
• Ele mira quem usa clientes de cheat. A lista de ferramentas imitadas da McAfee inclui Meteor, Wurst, LiquidBounce, Aristois, Impact, Future, Inertia e outras.
• Ele sobreviveu a uma derrubada. Os servidores de comando foram desativados em meados de 2026, mas em agosto a McAfee descobriu que a rede de distribuição seguia ativa, migrada para Discord, MediaFire e sites falsos de clientes gerados por IA que apareciam no topo do Google.
• Também se espalha por USB. Cerca de 9 mil infecções vieram de pendrives e outras mídias removíveis.

As campanhas que atingiram jogadores de Minecraft em 2026

A LofyGang é um grupo cibercriminoso brasileiro que ficou mais de três anos em silêncio antes de reaparecer com a isca do Slinky, segundo o The Hacker News. Pesquisadores da Dark Atlas rastrearam a origem do WeedHack até um ladrão privado chamado Majanito no fim de 2025, antes de ele ser rebatizado e vendido abertamente.

Malware no CurseForge e no Modrinth: a varredura de outubro de 2026

Os sites oficiais de mods são mais seguros que páginas de download aleatórias, mas não estão limpos. Entre 20 e 24 de outubro de 2026, o Modgrade, um site que analisa mods e plugins de Minecraft, relatou 34 projetos que ainda estavam no ar no CurseForge e no Modrinth com malware dentro. Todos já foram removidos.

• Mods utilitários que roubavam seu login. Full Bright, TooManyTools e Slimagar no CurseForge enviavam as sessões do Minecraft dos jogadores (e, no caso do Full Bright, os tokens do Discord) para um servidor externo. O Dungeons Extras também levava as senhas salvas no navegador.
• Plugins de servidor com mineradores. O PGCVisibility, um plugin de Paper no Modrinth, escondia um minerador de criptomoeda. O SimpleHomePlugin trazia código que imitava o bStats, um sinal conhecido de uma campanha de malware em plugins.
• Limpos no começo, envenenados depois. Em 27 de outubro o Modrinth removeu mais seis mods pequenos depois que um pesquisador notou que eles baixavam uma “atualização” de um site externo. O Modgrade verificou que os arquivos 1.0.0 estavam limpos. Os arquivos 1.0.1 instalavam uma extensão de navegador que rouba senhas.

Esse último truque é o que vale lembrar: um mod pode estar ok quando você o adiciona e ficar malicioso numa atualização posterior. Se você usa mods pequenos ou novos, confira a pasta de mods depois das atualizações, não só uma vez.

Como se verificar e ficar seguro

1. Baixe mods só do Modrinth ou do CurseForge, e clientes só do site oficial do desenvolvedor ou do GitHub. Digite o endereço você mesmo em vez de confiar num anúncio, no primeiro resultado de busca ou na descrição de um vídeo.
2. Trate clientes pagos “grátis” e cheats crackeados como malware. Eles são a isca principal.
3. Desconfie de arquivos enviados por amigos, principalmente modpacks, launchers e arquivos .exe, mesmo de contas em que você confia. Contas de amigos hackeadas são o caminho por onde essas campanhas se espalham.
4. Escaneie seu PC se você instalou mods ou clientes de terceiros este ano, depois troque suas senhas da Microsoft e do Discord a partir de um dispositivo limpo e encerre todas as sessões.
5. Não deixe senhas nem cartões salvos no navegador de uma máquina que você também usa para testar mods.

Para os golpes do lado do Discord, como links de verificação falsos e DMs de amigos, veja nosso guia de golpes no Discord.

Donos de servidor: plugins com backdoor

Os jogadores não são os únicos alvos. Em maio de 2026, o youtuber KasaiSora relatou que o NameTags, um plugin de servidor com cerca de 15 mil downloads no Modrinth, tinha um carregador oculto que buscava código no site do desenvolvedor e podia dar status de operador a uma conta específica. Segundo esse relato, o Modrinth removeu os projetos do desenvolvedor após revisar o código, mas o bStats ainda mostrava cerca de 900 servidores rodando o plugin. Esses números vêm do vídeo e não conseguimos verificá-los de forma independente.

• Remova qualquer plugin tirado do Modrinth ou do Hangar por malware, e não o reinstale pelo site do próprio desenvolvedor.
• Confira o ops.json e seu plugin de permissões em busca de contas que você não reconhece.
• Prefira plugins de código aberto com histórico ativo e desconfie de plugins que baixam código durante a execução.

O que vem por aí

A derrubada não parou o WeedHack, porque seus operadores mantêm uma rede de distribuição, não um único site. Enquanto jogadores procurarem clientes de cheat de graça, essas campanhas vão continuar lançando novos disfarces. A regra mais segura não mudou: se um download promete de graça algo que normalmente custa dinheiro, ou te dá uma vantagem que você não deveria ter, assuma que ele vai custar a sua conta.