Hackers nutzen YouTube und SEO-Poisoning, um Minecraft-Botnet-Malware zu verbreiten

Ein solches Video hatte bereits über

Ein solches Video hatte bereits über 7.500 Aufrufe gesammelt und enthielt in der Beschreibung einen Link zur schädlichen Download-Seite. Die Kampagne richtet sich aktiv auf Minecraft-Mods ohne offizielle Websites aus, was es ermöglicht, Suchergebnisse für diese Schlüsselbegriffe leichter zu dominieren.

Diese gefälschten Seiten sind so gestaltet, dass sie überzeugend wirken; einige enthalten sogar gefälschte Sicherheitshinweise, die Benutzer auffordern, ausschließlich von ihrer Seite herunterzuladen, und verlinken auf offizielle Discord-Server und GitHub-Seiten, um Vertrauen zu erwecken.

Neben Videos fordert die Kampagne ihre Kunden auf, an Diskussionen in Discord und Reddit teilzunehmen, um ihre schädlichen Websites diskret zu bewerben, ohne Verdacht zu erregen.

Das WeedHack-Dashboard bietet sogar Schritt-für-Schritt-Anleitungen zur

Das WeedHack-Dashboard bietet sogar Schritt-für-Schritt-Anleitungen zur effektiven Nutzung beider Methoden, einschließlich Tipps zur Keyword-Zielsetzung und zur Vermeidung häufiger Fehler.

EtherHiding und mehrstufige Payload-Lieferung Was WeedHack technisch besonders macht, ist der Einsatz von EtherHiding, einer Technik, die die Adresse des Command-and-Control-Server des Malwares auf der Ethereum-Blockchain verbirgt.

Dies macht es extrem schwierig, die Infrastruktur zu deaktivieren, da die C2-Adresse nicht im Malware-Code selbst gespeichert ist, sondern live aus einem Blockchain-Smart Contract abgerufen wird. Die Antworten werden zudem mit RSA unterzeichnet, um eine Übernahme der Kampagne durch Dritte zu verhindern.

Sicherheitslage und Risiko

Sobald ein Opfer die infizierte JAR-Datei ausführt, startet das Malware einen vierstufigen Infektionsablauf. Im ersten Schritt wird die C2-Domäne diskret von der Blockchain abgerufen. Die zweite Stufe lädt daraufhin eine verschlüsselte Nutzlast direkt in den Arbeitsspeicher mittels eines benutzerdefinierten Klassenladers.

Die dritten und vierten Stufen etablieren eine Persistenz auf dem System und installieren die Remote-Zugriffswerkzeuge, einschließlich Funktionen für die Zugriffskontrolle der Webcam, das Keylogging und die Einrichtung von Reverse-Shell-Fähigkeiten.

Das Malware-Programm legt zudem ein Skript ab, das Dutzende von Ausnahmepfaden zu Windows Defender hinzufügt und damit den integrierten Antivirenschutz effektiv blindlegt. Eine Watchdog-Aufgabe wird alle zwei Minuten ausgeführt, um gelöschte Komponenten wiederherzustellen, wodurch eine manuelle Entfernung ohne spezialisierte Werkzeuge äußerst schwierig wird.

Indikatoren für Kompromittierungen (IoCs): SHA256: Indikator:

Indikatoren für Kompromittierungen (IoCs): SHA256: Indikator: F2100e1f73477bc565f8909e069942dac1f884654ed4ba213ca9a84b1e761ab8; Beschreibung: Glazed_Addon-1.0.0.jar (Stufe 1). SHA256: Indikator: D3f2464ae0e48218e1d48bdfab8301ee5236f7624adcdba1720dc27058461076; Beschreibung: paper-rig-mod-new.jar (Stufe 1).

SHA256: Indikator: B982fbafa954a8dcf7cfcffe31bcF75a86b052b1f01cf535ffcafd2c48a56b60; Beschreibung: RadiumClient.jar (Stufe 1). SHA256: Indikator: 29546a03e07bfeb3025313b12671c758ced1c4921a4bc859a7ab40ec52584cdb; Beschreibung: Radium-1.0.0 (1).jar (Stufe 1).

SHA256: Indikator: D81b98a69363d8d994ef553beEb5e15384ed32f0e343708b73c7e6b313b9aace; Beschreibung: Bedrockfinder-1.0.0.jar (Stufe 1). SHA256: Indikator: F790346bece8e448313f701586Cc7fd18291dfda721aae8d86ebfacf14055645; Beschreibung: 4e client 1.21.11.jar (Stufe 1).

Technik und Auswirkungen

SHA256: Indikator: 5f7680feccc15814299df3c3c11e9b1c4f33069aac5a19c03b87e15f30c2312b; Beschreibung: AutoRynek-1.21.4.jar (Stufe 1). SHA256: Indikator: 256b5b5d0524c442261028767B94f7188b0b81663b50c63300fca7733a04ea7d; Beschreibung: donutsmp-duper-1.0.0.jar (Stufe 1). Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkung zu verhindern. Fügen Sie die Defanging-Markierungen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM-Plattform ein. Tushar ist ein Senior-Experte für Cybersicherheit und Berichterstattung über Datenschutzverletzungen.

Er konzentriert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neu auftretende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Laravel-CRLF-Injection-Schwachstelle ermöglicht Angreifern die Beeinträchtigung der Verarbeitung von ausgehenden E-Mails HTTP/2-Bombe – Ferner DoS-Exploit trifft nginx, Apache, IIS, Envoy und Cloudflare Pingora Microsoft 365 Android-Apps: Account-Takeover-Schwachstelle betrifft Milliarden von Android-Nutzern