WeedHack、LofyStealer 与 2026 年 Minecraft 模组恶意软件浪潮：原理与防护指南

已更新 November 12, 2026

2026 年，仅一个恶意软件团伙就感染了超过 11.6 万名 Minecraft 玩家的电脑，而它只是众多团伙中规模最大的一个。下面讲清楚这波模组和作弊客户端恶意软件是怎么运作的、背后是谁，以及如何让你的电脑远离它。

11 月 12 日更新：这波恶意软件已蔓延到服务器插件。一家独立扫描机构在至少七款 Bukkit 和 Paper 插件中发现恶意软件，其中包括一个山寨 LagFixer 和一个藏在假 bStats 地址背后的 Mace SMP 插件，另有 12 个假冒 Prism、HMCL 和 Minecraft 启动器的网站会安装远程访问。阅读完整报道和服务器检查清单。

想象一下：你从 Google 排名第一的网站下载了一个看起来像 Meteor Client 或 Wurst 的文件。把你引过去的视频教程看着很正规，jar 甚至还能正常启动。与此同时，你的 Minecraft 会话、Discord 令牌、保存的密码和摄像头都落入了别人手中。这就是 WeedHack 的生意模式。它是有记录以来针对 Minecraft 规模最大的恶意软件行动，在被发现之前已经运行了好几个月。

• 116,4642026 年 1 月至 6 月被 WeedHack 感染的电脑
• 2–3 千高峰期每天新增的 WeedHack 受害者
• 5 美元据报道的起步月租价格
• 10+打击行动后仍在线的假冒客户端网站

这波浪潮有何不同

• 它是一款产品，而不是单个黑客。WeedHack 是”恶意软件即服务”。客户能拿到一个网页后台，里面有受害者名单、被盗数据和针对 Minecraft 1.21.x 的载荷生成器，还附带传播教程。
• 它藏在真正的模组里。生成器可以把窃密程序注入正规模组的 jar 中，模组照常运行，盗窃在后台悄悄进行。
• 它专盯作弊客户端用户。McAfee 列出的被冒充工具包括 Meteor、Wurst、LiquidBounce、Aristois、Impact、Future、Inertia 等。
• 它挺过了打击。其控制服务器在 2026 年年中被瓦解，但到 8 月，McAfee 发现分发网络仍在运作，转移到了 Discord、MediaFire 以及在 Google 排名靠前的 AI 生成假冒客户端网站上。
• 它也通过 U 盘传播。约 9,000 起感染来自 U 盘和其他可移动介质。

2026 年袭击 Minecraft 玩家的恶意活动

据 The Hacker News 报道，LofyGang 是一个巴西网络犯罪团伙，沉寂三年多后借 Slinky 诱饵重新出现。Dark Atlas 的研究人员将 WeedHack 的源头追溯到 2025 年底一个名为 Majanito 的私人窃密程序，后者随后改名并公开出售。

CurseForge 和 Modrinth 上的恶意软件：2026 年 10 月大清查

官方模组站比随便哪个下载页面都安全，但并非一尘不染。2026 年 10 月 20 日至 24 日，专门扫描 Minecraft 模组和插件的网站 Modgrade 报告称，CurseForge 和 Modrinth 上有 34 个仍在线的项目含有恶意软件。它们现已全部下架。

• 偷你登录信息的实用模组。CurseForge 上的 Full Bright、TooManyTools 和 Slimagar 会把玩家的 Minecraft 会话（Full Bright 还包括 Discord 令牌）发送到外部服务器。Dungeons Extras 还会窃取浏览器中保存的密码。
• 带挖矿程序的服务器插件。Modrinth 上的 Paper 插件 PGCVisibility 藏有加密货币挖矿程序。SimpleHomePlugin 带有仿冒 bStats 的代码，这是插件恶意软件活动的已知特征。
• 先干净，后投毒。10 月 27 日，一名研究人员发现另外六个小模组会从外部网站下载”更新”，Modrinth 随即将其下架。Modgrade 确认它们的 1.0.0 文件是干净的，而 1.0.1 文件会安装窃取密码的浏览器扩展。

最后这一招最值得记住：一个模组刚加入时可能没问题，之后的某次更新却可能变成恶意版本。如果你使用小众或新出的模组，每次更新后都要检查模组文件夹，而不是只查一次。

如何自查并保持安全

1. 只从 Modrinth 或 CurseForge 下载模组，客户端只从开发者官网或 GitHub 下载。亲手输入网址，不要轻信搜索广告、搜索结果第一条或视频简介里的链接。
2. 把”免费”的付费客户端和破解作弊工具一律当作恶意软件。它们是主要诱饵。
3. 警惕朋友发来的文件，尤其是整合包、启动器和 .exe 文件，即使来自你信任的账户。被盗的好友账户正是这些活动传播的途径。
4. 扫描你的电脑。如果今年安装过第三方模组或客户端，扫描后请用一台干净的设备修改 Microsoft 和 Discord 密码，并退出所有会话。
5. 不要在用来测试模组的电脑上在浏览器里保存密码或银行卡。

关于 Discord 方面的骗术，比如假验证链接和好友私信，请参阅我们的 Discord 诈骗指南。

服主注意：带后门的插件

玩家并不是唯一的目标。2026 年 5 月，YouTuber KasaiSora 报告称，在 Modrinth 上约有 15,000 次下载的服务器插件 NameTags 含有隐藏加载器，会从开发者网站拉取代码，并能给某个特定账户授予管理员权限。据该报告，Modrinth 在审查代码后下架了该开发者的项目，但 bStats 仍显示约 900 台服务器在运行该插件。这些数字来自视频，我们未能独立核实。

• 删除任何因恶意软件被 Modrinth 或 Hangar 下架的插件，也不要从开发者自己的网站重新安装。
• 检查 ops.json 和权限插件中是否有你不认识的账户。
• 优先选择有活跃更新记录的开源插件，并警惕在运行时下载代码的插件。

接下来会怎样

打击行动并没有阻止 WeedHack，因为其运营者经营的是一个分发网络，而不是单个网站。只要还有玩家在找免费作弊客户端，这类活动就会不断推出新伪装。最安全的原则始终不变：如果某个下载免费提供本该收费的东西，或者给你不该有的优势，就默认它会让你付出账号的代价。