Если вы когда-нибудь устанавливали неизвестный клиент Minecraft, потому что сервер Discord обещал лучшую производительность или эксклюзивные моды, вот почему так делать не стоит. Исследователи безопасности из Netskope только что опубликовали отчёт о новом Python RAT, который использует название «Nursultan Client», чтобы выглядеть легитимно. Так называется настоящий клиент сообщества, популярный в России и Восточной Европе, поэтому приём с социальной инженерией срабатывает как нельзя лучше.
Вредоносная программа не просто крадёт что-то одно и исчезает. Для закрепления она регистрирует себя в реестре Windows под тем же именем, а затем ждёт команд от бота Telegram. Операторы могут заставить её делать снимки экрана, включать веб-камеру, открывать произвольные веб-страницы или извлекать токены Discord прямо из локального хранилища. Всё это происходит незаметно, пока вы заняты строительством или PvP.
Поддельный установщик даже показывает на экране сообщения, выдавая себя за обычный лаунчер Minecraft. Именно такой уровень проработки отличает случайный мусор от программы, которая действительно обманывает людей, даже тех, кто знает, что нужно быть осторожным, но всё равно нажимает на ссылку в два часа ночи.
- Использует настоящее название Nursultan Client в ключах реестра и поддельном тексте установщика
- Использует Telegram Bot API для управления и контроля — собственный сервер не нужен
- Крадёт токены Discord, снимки экрана и изображения с веб-камеры, а также может открывать URL-адреса, выбранные атакующим
- Закрепляется в системе и переживает перезагрузки
- По-видимому, создана для перепродажи по модели MaaS
Игроки в Java Edition, которые пользуются официальными лаунчерами, Modrinth или CurseForge, в основном защищены. Риск резко возрастает, когда вы ищете моды для повышения производительности, взломанные клиенты или загрузки «бесплатного плаща» из случайных источников. Это та же схема, что использовалась в предыдущих волнах кражи токенов в 2026 году, только теперь её замаскировали под Telegram.
Использование названия известного клиента Minecraft — очевидный приём социальной инженерии, призванный обмануть жертв, особенно игроков.
Нихил Хегде, старший исследователь безопасности в Netskope, в официальном анализе. В отчёте приводятся индикаторы компрометации и рекомендации по обнаружению для всех, кто использует средства защиты конечных устройств. Вывод прост: удалите всё, что называется Nursultan Client, если только вы не собрали его сами, и перестаньте передавать случайным исполняемым файлам доступ к своей сессии Discord.
