محققان امنیت سایبری چندین وب‌سایت مخرب را شناسایی کرده‌اند که با ارائه کلاینت‌های جعلی ماینکرفت (Minecraft Clients)، بدافزار Weedhack را میان گیمرها توزیع می‌کنند. آزمایشگاه McAfee اعلام کرده است که بیش از 6,300 تلاش برای دسترسی به وب‌سایت‌های مخرب را شناسایی و مسدود کرده است. همچنین، بررسی‌های این آزمایشگاه وب‌سایت‌های جعلی مرتبط با بازی‌ها را شناسایی کرده است که با تقلید از پروژه‌های قانونی، از برند، فهرست قابلیت‌ها، بخش پرسش‌های متداول (FAQs)، راهنمای نصب، اطلاعات توسعه‌دهندگان و حتی لینک مخازن معتبر گیت‌هاب استفاده می‌کنند تا کاملاً مشابه وب‌سایت‌های واقعی به نظر برسند. این وب‌سایت‌ها با شبیه‌سازی منابع معتبر، اعتماد کاربران را جلب کرده و آن‌ها را به دریافت نسخه‌های آلوده به بدافزار Weedhack هدایت می‌کنند.
استفاده از ابزارهای هوش مصنوعی برای ساخت وب‌سایت‌های مخرب
نکته قابل‌توجه این است که یکی از وب‌سایت‌های مخرب شناسایی‌شده با استفاده از یک ابزار ساخت وب‌سایت مبتنی بر هوش مصنوعی به نام Lovable ایجاد شده است. این موضوع نشان می‌دهد ابزارهای آماده و در دسترس می‌توانند موانع فنی راه‌اندازی وب‌سایت‌های مخرب را کاهش دهند و ایجاد سایت‌هایی با ظاهر معتبر و متقاعدکننده را برای مهاجمان آسان‌تر کنند. استفاده از چنین ابزارهایی می‌تواند مسیر توزیع بدافزار Weedhack میان کاربران را نیز هموارتر کند.
زنجیره چندمرحله‌ای حمله و کانال‌های توزیع بدافزار Weedhack
شرکت McAfee نخستین بار در ژوئن 2026 بدافزار Weedhack را مستند کرد و در گزارشی، جزئیاتی از نحوه استفاده مهاجمان از آلوده‌سازی سئو و یوتیوب برای هدایت ترافیک کاربران به دامنه‌های جعلی ارائه داد.
در این حمله، فرایند آلودگی در قالب یک زنجیره حمله چندمرحله‌ای انجام می‌شود و در نهایت به استقرار پیلودهای JAR روی سیستم قربانی می‌انجامد. این پیلودها قادر به انجام اقدامات زیر هستند:
- جمع‌آوری اطلاعات سیستم
- تعریف استثناهای امنیتی برای مایکروسافت دیفندر (Microsoft Defender)
- سرقت داده‌های حساس از میزبان آلوده
به گفته پژوهشگران، 49.6 درصد از URLهای مخرب شناسایی‌شده به لینک‌های دیسکورد (Discord) اختصاص داشته‌اند. پس از آن، لینک‌های مدیافایر (MediaFire) با سهم 23.4 درصد و لینک‌های گیت‌هاب با 8.2 درصد در رتبه‌های بعدی قرار گرفته‌اند.
این آمار نشان می‌دهد مهاجمان در کنار وب‌سایت‌های جعلی، از پلتفرم‌های شناخته‌شده و مورد اعتماد کاربران نیز برای توزیع بدافزار استفاده می‌کنند. در واقع، دامنه‌های جعلی تنها مسیر توزیع این تهدید نیستند و مهاجمان از مجموعه‌ای از بسترهای معتبر و کانال‌های ارتباطی برای رساندن فایل‌ها و لینک‌های آلوده به کاربران بهره می‌گیرند.
دامنه‌های جعلی مورد استفاده برای توزیع بدافزار Weedhack
مهاجمان برای توزیع بدافزار Weedhack مجموعه‌ای از دامنه‌های جعلی را ایجاد کرده‌اند که از نام و هویت پروژه‌های شناخته‌شده ماینکرفت سوءاستفاده می‌کنند. برخی از این دامنه‌ها عبارتند از:
- glazed-client[.]com: وب‌سایتی جعلی که از یک افزونه رایگان و متن‌باز ماینکرفت تقلید می‌کند.
- radium-client[.]com: وب‌سایتی جعلی که یک کلاینت پولی ماینکرفت را شبیه‌سازی می‌کند.
- github[.]io: دامنه‌ای جعلی که نسخه‌ای مشابه از نرم‌افزار کرک سیدهای (Seed) ماینکرفت را ارائه می‌دهد.
- cheatlib[.]xyz: وب‌سایتی که خود را یک کتابخانه مدرن مود (Mod) ماینکرفت با بیش از 6 میلیون دانلود معرفی می‌کند.
- meteorclients[.]com: دامنه‌ای جعلی که Meteor Client را شبیه‌سازی می‌کند.
- 22qq-client[.]com: وب‌سایتی جعلی که یک مود ماینکرفت با همین نام را برای سرورهای Crystal PvP جعل می‌کند.
- lovable[.]app: دامنه‌ای جعلی که یک ابزار پولی ماینکرفت برای سرور DonutSMP را شبیه‌سازی می‌کند.
- nova-client[.]com: وب‌سایتی جعلی که خود را یک کلاینت متن‌باز ماینکرفت معرفی می‌کند.
- xenoclient[.]lol و xenonclient[.]com: دامنه‌هایی جعلی که Xenon Client را شبیه‌سازی می‌کنند.
نکته قابل‌توجه این است که وب‌سایت‌های جعلی Xenon Client و Nova Client در نتایج جست‌وجوی چندین موتور جست‌وجو، از جمله گوگل ، مایکروسافت بینگ (Microsoft Bing)، بریو سرچ (Brave Search) و داک‌داک‌گو (DuckDuckGo)، در رتبه‌های بالای نتایج قرار گرفته‌اند. این موضوع می‌تواند کاربران ناآگاه را هنگام جست‌وجوی کلاینت‌های ماینکرفت به سمت وب‌سایت‌های جعلی سوق دهد و آن‌ها را به دانلود نسخه‌های آلوده ترغیب کند. به گفته آزمایشگاه McAfee، نسخه قانونی کلاینت در گیت‌هاب و Modrinth میزبانی می‌شود. با این حال، مهاجمان با راه‌اندازی وب‌سایت‌های جعلی و بهره‌گیری از تکنیک‌های آلوده‌سازی سئو، تلاش کرده‌اند آن‌ها را بالاتر از منابع رسمی در نتایج جست‌وجو قرار دهند.
در چنین شرایطی، کاربری که برای دانلود یک کلاینت معتبر جست‌وجو می‌کند، ممکن است از طریق نتایج جست‌وجو وارد یک وب‌سایت جعلی شود و بدون اطلاع، نسخه آلوده را دانلود کند؛ حتی اگر لینک موردنظر در نگاه اول مشکوک به نظر نرسد. به این ترتیب، مهاجمان از نتایج جست‌وجو برای جلب اعتماد کاربران و هدایت آن‌ها به سمت وب‌سایت‌های مخرب سوءاستفاده می‌کنند.
استفاده از بسترهای معتبر برای انتشار فایل‌های آلوده
مهاجمان در کنار دامنه‌های جعلی، از سرویس‌های میزبانی فایل و مخازن گیت‌هاب نیز برای انتشار فایل‌های آلوده استفاده کرده‌اند. لینک این وب‌سایت‌ها و فایل‌های مخرب از طریق دیسکورد، ردیت (Reddit) و سایر کانال‌های ارتباطی در اختیار کاربران قرار می‌گیرد.
یکی دیگر از مسیرهای انتشار، میزبانی فایل‌های JAR روی Planet Minecart و EndMods است. هر دو پلتفرم به‌صورت قانونی برای ارائه ابزارها، مودها و قابلیت‌های مرتبط با ماینکرفت مورد استفاده قرار می‌گیرند. مهاجمان با سوءاستفاده از این بسترهای معتبر، فایل‌های آلوده را در محیط‌هایی در دسترس کاربران قرار می‌دهند که در حالت عادی برای دریافت ابزارها و محتوای مرتبط با ماینکرفت استفاده می‌شوند. این مسئله می‌تواند تشخیص ماهیت مخرب فایل‌ها و منبع واقعی آن‌ها را برای کاربران دشوارتر کند.
راهکارهای کاهش ریسک
برای کاهش ریسک آلودگی به بدافزار Weedhack، کاربران باید هنگام دریافت و نصب کلاینت‌ها، مودها و ابزارهای ماینکرفت دقت بیشتری داشته باشند. مهم‌ترین توصیه‌های امنیتی عبارتند از:
- نصب آخرین به‌روزرسانی‌های امنیتی: سیستم‌عامل و دستگاه‌های خود را به‌طور منظم به‌روزرسانی کنید تا آسیب‌پذیری‌های شناخته‌شده برطرف شوند.
- استفاده از منابع معتبر: کلاینت‌ها، مودها و سایر ابزارهای ماینکرفت را فقط از وب‌سایت‌ها و منابع رسمی و قابل‌اعتماد دریافت کنید.
- اسکن فایل‌ها پیش از اجرا: فایل‌های دانلودشده را پیش از بازکردن یا اجرا با ابزارهای امنیتی مناسب اسکن کنید.
- توجه به درخواست غیرفعال‌کردن قابلیت‌های امنیتی: درخواست برای غیرفعال‌کردن قابلیت‌های امنیتی دستگاه هنگام نصب یک مود یا ابزار چیت (Cheat)، می‌تواند نشانه‌ای از مخرب‌بودن فایل باشد؛ بنابراین در چنین شرایطی بهتر است از ادامه فرآیند نصب خودداری کنید.
تداوم سوءاستفاده از آلوده‌سازی سئو برای انتشار بدافزار
این کمپین نخستین موردی نیست که مهاجمان از آلوده‌سازی سئو برای انتشار بدافزار در پوشش ابزارهای محبوب و شناخته‌شده استفاده می‌کنند.
شرکت چک‌پوینت در ژوئن 2026 یک عملیات گسترده را شناسایی کرد که در آن مهاجمان با جعل پروژه‌های متن‌باز و نرم‌افزارهای رایگان، کاربران ناآگاه را از طریق سیستم توزیع ترافیک (TDS) به سمت محتوای مخرب هدایت می‌کردند. این عملیات در نهایت منجر به انتشار خانواده‌های بدافزاری مانند Remus Stealer و AnimateClipper و همچنین فریم‌ورک SessionGate شد.
این نمونه‌ها نشان می‌دهند مهاجمان با سوءاستفاده از اعتبار پروژه‌های شناخته‌شده و قرارگرفتن وب‌سایت‌های جعلی در رتبه‌های بالای نتایج جست‌وجو، می‌توانند کاربران را بدون ایجاد ظاهری مشکوک به سمت محتوای مخرب هدایت کنند. در این نوع حملات، کاربر ممکن است تصور کند یک نرم‌افزار عادی دانلود می‌کند، در حالی که فایل نهایی حاوی بدافزار است.
