如果你曾因为某个 Discord 服务器承诺提供更好的性能或独家模组，就安装来路不明的 Minecraft 客户端，这正是你不该这么做的原因。安全研究人员 Netskope 刚刚发布了一份报告，介绍一种冒用“Nursultan Client”之名、伪装成正规软件的新型 Python RAT。这个名称属于一款真实的社区客户端，在俄罗斯和东欧地区颇受欢迎，因此这种社会工程手段格外容易奏效。
这种恶意软件不会只窃取一样东西就消失。它会以同一个名称写入 Windows 注册表以维持持久性，然后等待 Telegram 机器人的指令。操作者可以强制它截取屏幕、开启摄像头、打开任意网页，或直接从本地存储中提取 Discord 令牌。你忙着建造或 PvP 时，这一切都会在后台悄无声息地发生。
这个假安装程序甚至会在屏幕上显示消息，冒充普通的 Minecraft 启动器。这种投入程度，正是随手撒网的垃圾程序与真正能骗过那些明知风险却仍在凌晨 2 点点击链接的人之间的区别。
- 在注册表项和伪造的安装文本中使用真实的 Nursultan Client 名称
- 使用 Telegram Bot API 进行命令与控制，无需自建服务器
- 窃取 Discord 令牌、屏幕截图和摄像头画面，还能打开攻击者指定的网址
- 重启后仍能保持持久性
- 似乎是为转售、作为 MaaS 服务而构建
坚持使用官方启动器以及 Modrinth 或 CurseForge 的 Java 版玩家基本安全。一旦你开始寻找性能模组、黑客客户端或来自随机来源的“免费披风”下载，风险就会骤增。这与 2026 年早些时候那些窃取令牌的攻击浪潮如出一辙，只不过这次换上了 Telegram 的新包装。
冒用知名 Minecraft 客户端的名称，是一种明显的社会工程手段，旨在欺骗受害者，尤其是玩家。
Netskope 高级安全研究员 Nikhil Hegde 在官方分析中表示。该报告还提供了失陷指标以及面向使用终端防护软件的用户的检测指南。简而言之：除非你是自己编译的，否则就删除所有自称 Nursultan Client 的软件，并且别再把 Discord 会话交给来路不明的可执行文件。
