{"id":40337,"date":"2026-06-03T01:37:37","date_gmt":"2026-06-02T23:37:37","guid":{"rendered":"https:\/\/overcentral.com\/de\/weedhack-800-yen-malware-kit-in-minecraft-mod-infiziert-116-000-geraete\/"},"modified":"2026-06-03T01:38:41","modified_gmt":"2026-06-02T23:38:41","slug":"weedhack-minecraft-mod-malware-116000-geraete","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/weedhack-minecraft-mod-malware-116000-geraete\/","title":{"rendered":"WeedHack: 800-Yen-Malware-Kit in Minecraft-Mod infiziert 116.000 Ger\u00e4te"},"content":{"rendered":"

Eine in Minecraft-Mods versteckte Schadsoftware namens WeedHack hat nach Erkenntnissen von McAfee Labs bereits mehr als 116.000 Ger\u00e4te infiziert. Die Malware wird als \u201eMalware-as-a-Service“ (MaaS) vermarktet und ist schon f\u00fcr umgerechnet rund 800 Yen (knapp f\u00fcnf Euro) im Monat zu mieten. Besonders brisant: T\u00e4ter und Opfer sind mehrheitlich Jugendliche.<\/p>\n

Wie WeedHack auf die Ger\u00e4te der Opfer gelangt<\/h2>\n

Der Infektionsweg ist allt\u00e4glich und unspektakul\u00e4r. Nutzer suchen nach Mods oder benutzerdefinierten Clients f\u00fcr die Java-Edition von Minecraft und laden diese herunter. Genau hier setzt die Kampagne an. Die Angreifer haben es gezielt auf Clients abgesehen, die keine offizielle Website besitzen und nur \u00fcber GitHub vertrieben werden \u2013 darunter Meteor Client, Radium Client, Wurst Client, LiquidBounce, Impact Client und Future Client. Mittels SEO-Poisoning platzieren die T\u00e4ter t\u00e4uschend echte Nachbauten dieser Projekte weit oben in den Suchergebnissen. Einige dieser gef\u00e4lschten Seiten enthielten sogar Sicherheitshinweise und Links zu den echten Discord-Servern oder GitHub-Repositories der nachgeahmten Projekte. Wer dort herunterl\u00e4dt, installiert jedoch keine hilfreiche Mod, sondern die Schadsoftware.<\/p>\n

Ein weiterer Verbreitungsweg ist YouTube. Das Dashboard von WeedHack enth\u00e4lt ein detailliertes Tutorial zur Erstellung von Werbevideos. Die Anleitung ist pr\u00e4zise: \u201eProduziert gut geschnittene Videos, verwendet keine KI-Inhalte, hochwertige Clips generieren \u00fcber Monate Traffic.“ Die T\u00e4ter platzieren Download-Links sowohl in der Videobeschreibung als auch im Kommentarbereich und versehen diese mit eigenen Kommentaren, die die angebliche Sicherheit der Datei beteuern. Laut McAfee wurden mehrere solcher Videos bereits tausendfach abgerufen. Insgesamt identifizierten die Sicherheitsexperten \u00fcber 3.820 b\u00f6sartige JAR-Dateien und mehr als 240 dazugeh\u00f6rige Verteilungs-URLs. Die t\u00e4gliche Infektionsrate liegt zwischen 2.000 und 3.000 neuen F\u00e4llen, wobei die meisten Opfer in den USA, gefolgt von Deutschland, Indien, Gro\u00dfbritannien, Italien, Vietnam und Kanada gemeldet wurden.<\/p>\n

Ein Preismodell, das die Einstiegsh\u00fcrde radikal senkt<\/h2>\n

Was WeedHack von anderen MaaS-Angeboten fundamental unterscheidet, ist die Preisgestaltung. W\u00e4hrend Lumma Stealer monatlich zwischen 250 und 500 US-Dollar kostet und X-Worm mit einer Lizenzgeb\u00fchr von 300 bis 500 Dollar gehandelt wird \u2013 beides nur \u00fcber Darkweb-Kan\u00e4le zug\u00e4nglich \u2013, setzt WeedHack auf eine v\u00f6llig andere Strategie. Es gibt einen kostenlosen Tarif<\/strong>, und die Premium-Version ist f\u00fcr umgerechnet etwa f\u00fcnf Euro im Monat oder einmalig 25 Euro f\u00fcr eine lebenslange Lizenz zu haben. Bezahlt wird nicht \u00fcber anonyme Kryptow\u00e4hrungsnetzwerke, sondern \u00fcber eine konventionelle Web-Dashboard-Oberfl\u00e4che, die mit jedem handels\u00fcblichen Browser erreichbar ist.<\/p>\n

Selbst der kostenlose Tarif ist bereits erschreckend leistungsf\u00e4hig. Er umfasst den Diebstahl von Minecraft-Sitzungs-IDs, das Sammeln von Anmeldedaten aus vier Launchern, den Abgriff von Cookies und Passw\u00f6rtern aus 36 verschiedenen Browsern, die Extraktion von Authentifizierungsdaten aus 56 kryptobasierten Browser-Wallets und zw\u00f6lf Desktop-Wallets, den Diebstahl von Zugangsdaten zu Discord, Steam und Telegram, eine dateibasierte Suche anhand von 24 vorgegebenen Schl\u00fcsselw\u00f6rtern sowie die F\u00e4higkeit, Screenshots anzufertigen. Wer den Premium-Tarif bucht, erh\u00e4lt zus\u00e4tzlich Fernzugriff auf die Webcam des Opfers, einen Keylogger, eine Reverse-Shell, Bildschirmfreigabe mit Tastatur- und Maussteuerung sowie die M\u00f6glichkeit, Dateien hoch- und herunterzuladen. All das f\u00fcr einen Preis, der unter dem eines durchschnittlichen Streaming-Abonnements liegt. Die Frage, warum gerade junge Spieler zur Zielgruppe werden, beantwortet sich damit von selbst: Die Hemmschwelle ist nicht nur technisch, sondern auch finanziell nahezu null.<\/p>\n

Eine Generation hackt gegen eine Generation<\/h2>\n

Der wohl beunruhigendste Aspekt dieser Kampagne ist das Profil der Beteiligten. McAfee \u00fcberwachte den Telegram-Kanal von WeedHack, der zum Zeitpunkt der Untersuchung mehr als 850 Mitglieder z\u00e4hlte. Die Auswertung ergab, dass die \u00fcberwiegende Mehrheit der Nutzer zwischen 13 und 19 Jahre alt ist. Und anders als bei professioneller Cyberkriminalit\u00e4t geht es diesen jungen T\u00e4tern nicht prim\u00e4r um finanzielle Bereicherung. Sie nutzen die Fernzugriffsfunktion, um Gleichaltrige zu schikanieren. Die Sicherheitsforscher dokumentierten mehrere F\u00e4lle, in denen Angreifer die Webcam ihrer Opfer ohne deren Wissen aktivierten, heimlich Aufnahmen machten und diese als \u201eTroph\u00e4en“ im Telegram-Kanal teilten. In anderen F\u00e4llen wurden IP-Adressen und Systemzugriffe genutzt, um die Opfer einzusch\u00fcchtern und zu erpressen. Die M\u00f6glichkeit, Minecraft-Konten zu stehlen, wirkt dabei als zus\u00e4tzlicher Anreiz f\u00fcr die junge Zielgruppe. Der beobachtete Telegram-Kanal wurde inzwischen geschlossen, doch McAfee zufolge \u00fcberwachen die Ermittler weiterhin nachfolgende Kan\u00e4le. Die Beh\u00f6rde hat aus Gr\u00fcnden des Opferschutzes bislang auf die Ver\u00f6ffentlichung der gesammelten Beweise aus dem Chatverlauf verzichtet.<\/p>\n

EtherHiding und JNIC \u2013 die technische Infrastruktur<\/h2>\n

Technisch gesehen setzt WeedHack auf bemerkenswert ausgefeilte Methoden. Die Schadsoftware verwendet ein Verfahren namens EtherHiding, bei dem die Adresse des Command-and-Control-Servers (C2) in einem Smart Contract auf der Ethereum-Blockchain hinterlegt ist. Das Malware-Programm ruft diesen Vertrag auf, extrahiert die aktuell g\u00fcltige C2-Domain und validiert sie mittels einer RSA-Signatur. Selbst wenn Sicherheitsbeh\u00f6rden eine Infrastruktur abschalten, k\u00f6nnen die Betreiber durch ein schlichtes Update des Smart Contracts blitzschnell auf eine neue Domain wechseln. Eine \u00dcbernahme der Kampagne durch Dritte ist aufgrund der kryptografischen Absicherung praktisch ausgeschlossen.<\/p>\n

Ab der zweiten Version des Sch\u00e4dlings kommt zudem ein Tool namens JNIC (Java Native Interface Compiler) zum Einsatz, dessen Lizenz zwischen 150 und 300 Pond kostet. Dabei wird kompilierter Java-Bytecode in nativen C-Code umgewandelt und \u00fcber die JNI-Schnittstelle zur\u00fcck an die urspr\u00fcngliche Anwendung gebunden. Das Ergebnis ist eine drastische Erh\u00f6hung der Analyseerschwernis \u2013 ein erstaunlicher Aufwand f\u00fcr ein Produkt, das monatlich nur f\u00fcnf Euro kostet. Unabh\u00e4ngige Analysen deuten darauf hin, dass WeedHack aus einer \u00e4lteren Malware namens \u201eMajanito“ hervorgegangen ist und mehrere Besitzer- sowie Relaunch-Phasen durchlaufen hat.<\/p>\n

Die Lehren aus 2023 wurden nicht gezogen<\/h2>\n

Der Fall WeedHack ist kein Einzelfall, sondern die konsequente Weiterentwicklung eines Trends. Bereits im Juni 2023 wurde mit Fractureiser eine Schadsoftware entdeckt, die sich \u00fcber die Mod-Plattformen CurseForge und Bukkit verbreitete und mehrere tausend Downloads verzeichnete. Der entscheidende Unterschied: Fractureiser nutzte eine Sicherheitsl\u00fccke innerhalb der offiziellen Plattformen. WeedHack hingegen operiert vollst\u00e4ndig au\u00dferhalb dieser Strukturen \u2013 \u00fcber gef\u00e4lschte Websites, SEO-manipulierte Suchergebnisse und YouTube-Videos. Plattformbetreiber k\u00f6nnen hier kaum noch eingreifen, weil die Infektion au\u00dferhalb ihrer Kontrollbereiche stattfindet.<\/p>\n

Minecraft ist mit \u00fcber 350 Millionen verkauften Einheiten das erfolgreichste Spiel der Welt, und sein inoffizielles Mod-\u00d6kosystem ist gigantisch und weitgehend unreguliert. Die meisten Mods werden als JAR-Dateien ausgeliefert \u2013 ausf\u00fchrbare Java-Archive, die beim \u00d6ffnen sofort als Programm\u542f\u52a8en. Wer eine Mod installiert, f\u00fchrt im Grunde Code einer unbekannten Person auf dem eigenen Rechner aus. Der sicherste Weg bleibt der Bezug \u00fcber vertrauensw\u00fcrdige Quellen wie die offiziellen Projektseiten oder Plattformen wie Modrinth. Websites, die dazu auffordern, das Antivirenprogramm zu deaktivieren, sind per Definition gef\u00e4hrlich. Und wer Kinder beim Herunterladen von Minecraft-Mods beobachtet, sollte sie f\u00fcr die grundlegenden Risiken sensibilisieren: Der g\u00fcnstigste Marktplatz des Spiels ist nach wie vor der sicherste.<\/p>\n

Quelle: McAfee Labs \u2013 WeedHack-Forschungsbericht<\/a><\/p>\n

Verwandte Beitr\u00e4ge<\/h3>\n