Хакери крият зловредния софтуер Marsalek във фалшиви хакове за Roblox и Fortnite за кражба на пароли и данни от крипто портфейли

Хакери крият безплатен зловреден софтуер за кражба на информация (инфостилър), наречен Marsalek, във фалшиви чийтове и инструменти за игри като Roblox, Fortnite и Counter-Strike 2.

Файловете изглеждат като полезни добавки за игри. Във фонов режим те крадат запазени пароли, бисквитки на браузъри, Discord токени и данни от крипто портфейли от компютри с Windows.

Marsalek функционира от около декември 2025 г. до май 2026 г. като зловреден софтуер като услуга (malware-as-a-service), така че всеки можеше да се регистрира в публичен сайт, да компилира злонамерен файл и да следи жертвите си чрез табло за управление.

Безплатният план дори не изискваше акаунт в Discord или имейл адрес. Подобни кампании с фалшиви чийтове за игри разпространяваха други стилъри чрез GitHub и Reddit, което показва колко популярен е станал този трик.

Анализатори от McAfee Labs идентифицираха зловредния софтуер и преброиха над 1,560 регистрирани акаунта, над 400 злонамерени файла и повече от 29 URL адреса за разпространение.

Те също така свързаха Marsalek с WeedHack, услуга, насочена към Minecraft, тъй като и двете пренасочват клиентите към един и същ канал за поддръжка в Telegram – @MetaMaskenMann.

Хакери крият зловредния софтуер Marsalek във фалшиви чийтове за Roblox и Fortnite

Повечето от примамките копират инструменти, които геймърите вече търсят. McAfee откри фалшиви версии на изпълнители на скриптове (script executors) за Roblox, като Swift, Solara, MatrixHub External и Matcha External.

Появиха се и фалшиви клиенти за Minecraft като Shadow Client и Boss Client, а проба с името Fortnite_tweaks.exe присъства в списъка с индикатори.

Файловете се разпространяват чрез имитиращи уебсайтове, Discord и GitHub. Клиентите могат да стартират инфекция с PowerShell скрипт, страница от тип ClickFix, Python файл или EXE файл. Bitdefender докладва за подобен случай с фалшиви чийтове Roblox Xeno, които също бяха насочени към по-млади играчи.

След първата стъпка веригата е почти една и съща всеки път. Стартовият скрипт изтегля преносим пакет на Python и втори файл, наречен python_setup.py.

Този файл се опитва да получи администраторски права с помощта на инструмент на Windows, наречен CMSTP, след което скрива прозореца за разрешение и натиска Enter вместо потребителя. След това добавя 8 пътя и 15 процеса към списъка с изключения на Microsoft Defender, така че последващите файлове да не бъдат сканирани.

Страницата ClickFix представлява фалшива проверка от Cloudflare – трик, наблюдаван и в кампанията със зловредния софтуер Warden Stealer, който инструктира жертвите да поставят команди в Windows.

Третият файл, svc.py, извършва основната кражба в рамките на над 1,400 реда код. Той атакува 32 браузъра, базирани на Chromium, както и Firefox.

Освен това заобикаля защитата App-Bound Encryption на Chrome чрез инжектиране на DLL в поставен на пауза процес на Chrome, Edge или Brave, така че самият браузър да отключи ключа.

Зловредният софтуер проверява 26 пътя на Discord, копира данни за сесии на Telegram и чете детайли за акаунти в Mullvad VPN. Той сканира за 56 разширения за браузъри и 12 приложения за портфейли и търси файлове с думи като „seed“, „passphrase“ и „wallet“. В Exodus и Atomic Wallet той подменя два .asar файла, за да остави задна вратичка (backdoor).

Дизайн с двойна примамка превръща клиентите в жертви

Последният етап е PureLog – евтин стилър, продаван само за $59 на месец. Той е прикрит с .NET Reactor, декриптира се с Triple DES и се изпълнява само в паметта.

Насочен е към 35 браузъра, 48 разширения и 12 настолни приложения, прави екранна снимка и настройва планирана задача, която стартира RunetimeBroker.exe на всеки пет минути. Изпраща данните към отделен сървър – telemetrydata.to.

Тази конфигурация се нарича двойна кука (dual hook). Клиентите си мислят, че притежават откраднатите логове, но авторът на Marsalek също получава копие и може първи да използва акаунтите на жертви с висока стойност.

Вграденият раздел с често задавани въпроси (FAQ) дори учи купувачите как да използват откраднати бисквитки и токени и как да изпират монети чрез Monero. McAfee отчете най-голяма активност в Съединените щати, следвани от Германия, Обединеното кралство, Индия и Бразилия.

Гейминг профилите струват пари и е лесно да се види как атакуващите крадат акаунти за игри, а след това продават артикулите или използват повторно същите данни за вход на други места.

Най-добрата защита е проста. Изтегляйте игри и инструменти само от официални източници, никога не изключвайте антивирусната програма, защото даден сайт твърди, че това е фалшива тревога, и никога не поставяйте команди от уеб страница.

Всеки, който е стартирал подозрителен чийт, трябва да смени паролите си от чисто устройство, да излезе от всички сесии, да прехвърли криптовалутата си в нов портфейл и да преинсталира Windows. Читателите могат да намерят пълните технически подробности в доклада на McAfee Labs за Marsalek.

Индикатори за компрометиране (IoCs):-

Бележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановявайте ги в активен вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.