WeedHackマルウェアキャンペーン
サイバーセキュリティ研究者らは、YouTubeや検索エンジンの操作を利用してユーザーのシステムを乗っ取ることができるマルウェアを感染させる、Minecraftプレイヤーを標的とした高度なマルウェアキャンペーンを発見した。
Weedhackという名称で追跡されているこの作戦は、2026年1月から活動している。攻撃者は悪意のあるソフトウェアをMinecraftのクライアントやMODに偽装し、ユーザーを誘い込んで感染ファイルをダウンロードさせている。研究者らは、マルウェアの配布に関与する3,820個の固有の悪意のあるJARファイルと240以上のURLを特定した。
リーチを最大化するため、このキャンペーンはSEOポイズニングの手法と、一見合法的なMinecraftの改造を宣伝するYouTubeコンテンツに依存している。捜査当局はすでに、視聴者を悪質なダウンロードサイトに誘導する複数の動画と少なくとも2つのYouTubeチャンネルを特定している。
目次
キャンペーンの背後にあるプロの犯罪組織
この作戦の中核を成すのは、weedhack.to 上にホストされた高度なダッシュボードであり、サイバー犯罪者はこのダッシュボードを通じて、盗まれた認証情報、システム情報、および侵害されたデバイスの監視機能にアクセスできます。このプラットフォームでは、Minecraft バージョン 1.21.0 から 1.21.11 を標的としたカスタマイズされたマルウェア ペイロードを生成したり、正規の Minecraft MOD に悪意のあるコードを注入したりすることも可能です。
このマルウェアのエコシステムは、850人以上のメンバーを擁するTelegramチャンネルを通じて宣伝されている。このチャンネルは、サービスの宣伝、アップデートの配信、プラットフォームのユーザーへのカスタマーサポート提供を行うハブとしての役割を果たしている。
感染連鎖の仕組み
攻撃は、被害者が不正なウェブサイトからDonutDupe.jarという名前の悪意のあるJARファイルをダウンロードすることから始まります。このファイルは実行されると、イーサリアムブロックチェーンをデッドドロップリゾルバーとして利用するEtherHidingという手法を用いて、コマンド＆コントロール（C2）サーバーの情報を取得します。
マルウェアはその後、C2インフラストラクチャに接続し、Elevator.jarと呼ばれる2つ目のJavaベースのペイロードをダウンロードします。このコンポーネントはシステム情報を収集し、Microsoft Defenderの除外設定を作成し、追加のマルウェア展開のためにシステムを準備します。
3つ目のペイロードであるSecurityManager.jarは、感染したデバイス上に永続的なアクセスを確立し、ステージングコンポーネントとして機能します。最後にComponent.jarが配信され、攻撃者が侵害されたシステムを広範囲に制御できるリモートアクセス機能が有効になります。
無料および有料のマルウェア提供
Weedhackプラットフォームは、2つのサブスクリプションレベルで提供されています。
無料ティア：MinecraftのセッションID、4つのMinecraftランチャーからのデータ、スクリーンショット、ファイル、システム情報、ブラウザのCookie、36のWebブラウザのパスワード、56のブラウザベースの暗号通貨ウォレットと12のデスクトップウォレットアプリケーションからの情報、およびDiscord、Steam、Telegramに関連付けられた認証情報を収集できる強力な情報窃盗ツールが含まれています。
プレミアムティア：月額4.99ドル、または永久ライセンス24.99ドルで利用可能なこのバージョンでは、ウェブカメラ監視、キーロギング、リバースシェル実行、キーボードとマウスによる画面共有、ファイル転送機能などの高度なリモートアクセス機能が追加されます。
グローバルな展開とサイバー犯罪への参入障壁の低下
感染者の大半は米国で確認されており、次いでドイツ、インド、英国、イタリア、ベトナム、カナダ、ノルウェー、スウェーデン、フィンランド、スペインの順となっている。
Weedhackの特徴は、闇市場ではなく、通常のウェブ上で入手できる点にある。高度なマルウェアへの無料アクセスと詳細なチュートリアルを提供することで、このプラットフォームはサイバー犯罪を志す者にとって参入障壁を大幅に下げている。さらにMinecraftアカウントを盗む機能も備えているため、若いユーザーの間で特に魅力的であり、このキャンペーンは極めて危険かつ効果的である。
サイバー犯罪からサイバーいじめまで
研究者たちは、このキャンペーンに憂慮すべき社会的側面があることも指摘している。多くの利用者は10代や20代の若者で、マルウェアのリモートアクセス機能を悪用して、被害者を脅迫したり、嫌がらせをしたり、監視したりしているようだ。
捜査官らは、攻撃者が不正に入手したウェブカメラを通して被害者を密かに録画し、その映像をいわゆる「戦利品」としてTelegramチャンネルで共有していた事例を記録した。この行為は、Weedhackのようなマルウェアプラットフォームが、従来のサイバー犯罪を助長するだけでなく、標的型サイバーいじめやデジタルハラスメントも可能にしていることを示している。
