Los jugadores de Minecraft que buscan un cliente popular podrían descargar malware en lugar de una herramienta del juego. Una renovada campaña de WeedHack está utilizando resultados de búsqueda manipulados, sitios web clonados y señuelos de descargas gratuitas para distribuir archivos de Java peligrosos. Los atacantes están replicando la imagen de marca y las listas de funciones para engañar a los usuarios.

Los jugadores de Minecraft que buscan un cliente popular ahora pueden acabar en malware en lugar de una herramienta de juego. Una campaña renovada de WeedHack está utilizando resultados de búsqueda envenenados, sitios web clonados y señuelos de descarga gratuita para colocar archivos Java peligrosos frente a los jugadores.

El riesgo no se limita a una sola página falsa. Los atacantes están clonando la imagen de marca, las listas de funciones, las guías de instalación e incluso enlaces a proyectos reales de GitHub, haciendo que los sitios fraudulentos de clientes de Minecraft parezcan convincentes a primera vista.

Las descargas entregadas a través de esas páginas contienen la carga útil de WeedHack. Los analistas de McAfee identificaron la actividad continua después de que la infraestructura original de comando y control de la campaña fuera interrumpida.

El panel de control del grupo está caído, pero su red de distribución permanece activa, lo que demuestra la rapidez con la que una operación de malware puede cambiar sus métodos de entrega.

La escala es notable. McAfee WebAdvisor bloqueó más de 6,300 intentos de acceder a los sitios maliciosos en el último mes, mientras que una investigación anterior vinculó a WeedHack con más de 116,464 jugadores infectados.

McAfee señaló en un informe que la campaña ilustra por qué un resultado con una posición alta en las búsquedas no debe tomarse como prueba de que una descarga es segura.

Los mejores resultados de Google para clientes de Minecraft llevaron a los jugadores al malware

Los investigadores descubrieron que los dos primeros resultados de Google para las búsquedas de Xenon Client dirigían a los usuarios a sitios que propagaban WeedHack.

Este es un ejemplo claro de envenenamiento de SEO, donde los criminales manipulan la visibilidad de las búsquedas para que una página de descarga falsa aparezca antes, o junto a, los recursos legítimos del proyecto.

Uno de los sitios, xenoclient.lol, ofrecía opciones gratuitas y premium, completas con páginas de descarga e instalación, preguntas frecuentes, créditos y un enlace al repositorio genuino de GitHub de Xenon Client.

Otro, xenonclient.com, promocionaba una versión gratuita del cliente. Ambos estaban diseñados para convertir una búsqueda familiar en una ruta de entrega de malware.

Otros sitios de suplantación copiaron a Glazed Client, Radium Client, SeedCrackerX, Nova Client, Meteor Client y 22qq-client.

En algunos casos, los operadores se dirigieron a proyectos que no tenían un sitio web oficial independiente, aprovechando ese vacío para superar en el ranking a los listados legítimos de GitHub o de plataformas de mods. Una investigación sobre un cargador de malware de Minecraft muestra el peligro más amplio de los archivos de juego troyanizados que parecen útiles para los jugadores.

Los investigadores también encontraron una página maliciosa de Krypton Client creada con lovable.app, un servicio de creación de sitios impulsado por IA, lo que subraya la facilidad con la que los atacantes pueden producir páginas pulidas a gran velocidad.

Campañas similares de SEO de descargas falsas han utilizado la misma brecha de confianza fuera de los videojuegos. Varias páginas anunciaban clientes de pago o trucos gratis, mientras que otras ofrecían muchas opciones de versiones que conducían a archivos infectados. La aparente libertad de elección mantiene a los visitantes dentro de la misma cadena de distribución maliciosa.

Plataformas familiares extienden la trampa

La campaña no depende solo de dominios similares. De las URL maliciosas que McAfee identificó, el 49.6% eran enlaces de Discord, el 23.4% enlaces de MediaFire, el 8.2% enlaces de GitHub y el 4.6% enlaces de Dropbox.

Estos servicios ampliamente utilizados pueden hacer que un archivo malicioso parezca menos sospechoso cuando se comparte en chats comunitarios o repositorios. Los investigadores también observaron descargas contaminadas alojadas a través de sitios comunitarios, incluidos Planet Minecraft y EndMods.

Luego, los enlaces pueden promocionarse a través de Discord, Reddit y otros espacios en línea, ampliando la audiencia más allá de los usuarios que llegan a través de un motor de búsqueda. Este enfoque recuerda al abuso de envenenamiento de búsquedas y de YouTube que previamente llevó a los jugadores de Minecraft hacia WeedHack.

La respuesta más segura es comenzar por la página del desarrollador verificado del proyecto o una plataforma de mods confiable, en lugar de elegir el primer resultado de búsqueda.

Debes comparar la URL completa cuidadosamente, evitar clientes premium "crackeados" o supuestamente gratuitos, y tratar cualquier solicitud para desactivar el software de seguridad como una señal de advertencia seria.

Los archivos JAR, mods, instaladores y archivos descargados deben ser analizados antes de abrirse, incluso cuando provengan de una comunidad que parezca popular.

Si una herramienta de seguridad marca un archivo, detente e investiga en lugar de asumir que la alerta es errónea. Mantener actualizados el sistema operativo, el navegador, los juegos y las herramientas de seguridad también reduce la exposición a debilidades conocidas.

Para las familias y las comunidades de servidores, la lección práctica es sencilla: comparte ubicaciones de descarga verificadas y reporta rápidamente las páginas fraudulentas.

Una amenaza de mods falsos de Minecraft demuestra por qué una ventaja prometida en el juego puede tener consecuencias que van mucho más allá de una sola cuenta comprometida.

Fuentes:
https://cybersecuritynews.com/google-results-minecraft-client/