Если на этой неделе вы искали нечестные преимущества на публичных SMP-серверах, то вместо этого могли отдать злоумышленникам полный доступ к своему компьютеру. Аналитики кибербезопасности обнаружили недавно зарегистрированную кампанию, действовавшую на сайте donutsmpcheats.org, вредоносном портале загрузок, который маскировался под сайт с утилитами и клиентами для популярного DonutSMP — хардкорного серверного сообщества.
Вместо безобидных читов или клиентских утилит домен размещал семь разных полезных нагрузок в виде архивов Java (.jar), имитировавших популярные клиенты, такие как LiquidBounce, Meteor и Wurst. На самом деле каждый файл был вооружён похищающим информацию вредоносом SilentNet, созданным для эксфильтрации данных сессии сразу после попадания файла в папку с модами игрока.
Как сработала ловушка SilentNet
Согласно записям исследователей в базе данных abuse.ch URLhaus, кампания стартовала в сентябре 2026 года, а затем перешла к активному распространению. Злоумышленники нацеливались на игроков, искавших наборы преимуществ для конкретных серверов, используя доверие к чужим брендам и такие названия, как glazed-addon и krypton-client.
После загрузки в Minecraft Java Edition SilentNet немедленно начинает сканировать систему жертвы. Полезная нагрузка извлекает активные токены сессий из папки стандартного лаунчера, похищает токены аутентификации Discord, а также забирает сохранённые пароли и файлы cookie из браузеров на движках Chromium и Gecko, после чего связывается со своей командной инфраструктурой.
Хотя 8 октября домен, с которого распространялось вредоносное ПО, перестал работать после того, как сообщения о нём в базах безопасности привели к блокировке DNS, опасность для заражённых игроков никуда не исчезла. Поскольку после запуска вредоносная программа действует независимо от исходного сайта, украденные токены остаются действительными, пока владельцы аккаунтов сами не завершат сеансы и не сбросят ключи аутентификации на всех своих устройствах.
Источник
Источник
Источник
