WeirdUtils | Malicious code in mods for SkyBlock, etc.

Pigeon Development | Высококачественное создание серверов Minecraft


WeirdUtils

WeirdUtils - это семейство продвинутых вредоносных программ, нацеленных в основном на игроков в игровой режим SkyBlock от Hypixel (ЭТО НЕ ОЗНАЧАЕТ, ЧТО ОНИ НАЦЕЛЕНЫ ТОЛЬКО НА SKYBLOCK).
За два года множество людей установили файлы, зараженные WeirdUtils. На момент публикации этой статьи WeirdUtils не обнаруживается основными антивирусами. Известные моды выдают себя за проекты с открытым и закрытым исходным кодом и добавляют вредоносное ПО.

Документация в процессе разработки, ничего не готово

Мы обнаружили моды, использующие многоступенчатый процесс заражения пользователей программой WeirdUtils. Сначала загружается зашифрованный файл Pastebin. Он расшифровывается в url, используемый для загрузки JAR-файла, который после расшифровки (дважды) содержит код для кражи паролей/токенов из следующих источников:

Google Chrome
Opera
Discord Stable
Discord Canary

Текущая версия вредоносной программы была обезврежена на Pastebin 19 августа 2023 года в 9:08 pm CDT, а третья стадия была обезврежена на GitHub примерно 21 августа 2023 года. Однако разработчики вредоносной программы могут выпустить обновления для ее повторной загрузки.

Как узнать, заражен ли я?

Вы можете использовать инструмент обнаружения UtilsDetector, чтобы определить, есть ли на вашем компьютере зараженные jar-файлы. Поскольку эта вредоносная программа не распространяется, зараженных файлов должно быть не так много.

Обновленные версии вредоносной программы могут быть не обнаружены ни одним из инструментов; будьте осторожны.

UtilsDetector VT: https://www.virustotal.com/gui/file/4c7441492f483fa46e251ae49ca66c50648b13e4897e80dd763b0d2686f2d06d

Я заражен. Помогите!

Если вы обнаружили, что заражены, считайте, что все учетные записи, сохраненные в браузерах, а также учетная запись Discord и учетная запись Minecraft скомпрометированы.

Убедитесь, что вредоносная программа полностью удалена из вашей системы, после отправки jar через средство обнаружения.
Смените пароли для всех этих учетных записей, а также для всех других учетных записей, использующих такие же или похожие пароли.