Weedhack 恶意软件通过伪造 Minecraft 客户端和 SEO 投毒传播

网络安全研究人员发现，多个网站仍在积极向游戏玩家分发名为Weedhack的恶意软件家族，伪装成Minecraft客户端。

McAfee Labs称检测并拦截了超过6,300次访问恶意网站的尝试，并发现多个仿冒合法项目的钓鱼游戏网站，包括品牌标识、功能列表、FAQ、安装指南、开发者致谢以及指向真实GitHub仓库的链接。

值得注意的是，其中一个网站使用Lovable（一款AI驱动的网站构建器）搭建，凸显了现成工具如何进一步降低门槛，使创建令人信服的恶意新网站更加容易。

Weedhack于2026年6月首次被该安全公司记录，当时详述了其利用SEO投毒和YouTube将流量重定向至虚假域名的做法。攻击触发多阶段序列，最终部署JAR载荷，可收集系统信息、设置Microsoft Defender排除项，并从受感染主机窃取敏感数据。

“近一半的恶意URL为Discord链接（49.6%），其次是MediaFire（23.4%）和GitHub（8.2%），显示攻击者如何利用熟悉平台与虚假网站配合分发恶意软件，”McAfee Labs研究员Aayush Tyagi表示。

部分分发恶意软件的虚假域名包括：

• glazed-client[.]com，仿冒glazedclient[.]com（同名免费开源Minecraft附加组件）

• radium-client[.]com，仿冒radiumclient[.]com（付费Minecraft客户端）

• seedcrackerx.github[.]io，仿冒seedcrackerx[.]com（Minecraft种子破解软件）

• cheatlib[.]xyz，自称“现代Minecraft模组库”，声称下载量超160万

• meteorclients[.]com，仿冒meteorclient[.]com

• 22qq-client[.]com，仿冒同名Crystal PvP服务器Minecraft模组

• kryptonclientcrack.lovable[.]app，仿冒kryptonclient[.]org（DonutSMP服务器的付费Minecraft工具）

• nova-client[.]com，仿冒开源Minecraft客户端

• xenoclient[.]lol和xenonclient[.]com，仿冒Xenon客户端

值得注意的是，Xenon Client和Nova Client的虚假网站在Google、Microsoft Bing、Brave Search和DuckDuckGo等多个搜索引擎的搜索结果中均排名靠前，导致不知情用户下载带有Weedhack的客户端。

“合法客户端托管于GitHub和Modrinth，但攻击者创建了仿冒网站，并利用SEO投毒技术在搜索结果中超越官方来源，”McAfee Labs表示。

除虚假域外，文件托管服务和GitHub仓库也被观察到传播Weedhack，相关链接通过Discord、Reddit和其他通信渠道分发。另一种传播渠道是在Planet Minecart和EndMods上托管JAR文件，这两个均为Minecraft工具和增强功能的合法站点。

为应对威胁，建议保持设备更新、坚持使用可信来源、打开文件前进行扫描，并谨慎对待任何在安装前提示禁用安全保护的模组或作弊工具。

这并非首次利用SEO投毒针对流行工具投放恶意软件。2026年6月，Check Point曾发现一场大规模活动，仿冒开源和免费软件项目，通过流量分发系统（TDS）将不知情用户引导至恶意站点，投放Remus Stealer、AnimateClipper和SessionGate框架等恶意软件。