Verfasst von Aayush Tyagi
Ergebnisse der McAfee Labs-Untersuchung
Eine aktuelle Untersuchung der McAfee Labs zur „WeedHack“-Malware-Kampagne hat ergeben, dass sich die Bedrohung weiterentwickelt, obwohl die ursprüngliche Command-and-Control-Infrastruktur durch McAfee stillgelegt wurde. Forscher haben mehrere aktive Websites identifiziert, die noch immer „WeedHack“ an Spieler verteilen. Dazu imitieren die Kriminellen häufig echte Minecraft-Clients, bieten kostenpflichtige Tools gratis an oder nutzen vertrauenswürdige Plattformen, um ihre schädlichen Downloads zu tarnen.
Die Untersuchungsergebnisse im Überblick:
→ Im vergangenen Monat blockierte McAfee WebAdvisor mehr als 6.300 Zugriffsversuche auf böswillige Websites.
→ Forscher fanden gefälschte Gaming-Websites, die seriöse Projekte bis ins Detail nachahmen – inklusive Markenzeichen, Funktionsübersichten, FAQ-Bereichen, Installationsanleitungen, Angaben zu Mitwirkenden sowie Links zu echten GitHub-Repositorys.
→ In einem Fall führten die ersten beiden Google-Ergebnisse, die die Forscher bei der Suche nach einem beliebten Minecraft-Client erhielten, zu Websites mit WeedHack – ein Beispiel dafür, wie durch SEO-Poisoning schädliche Downloads auf direktem Weg zu Spielern gelangen können.
→ Fast die Hälfte der identifizierten schädlichen URLs waren Discord-Links (49,6 %), gefolgt von MediaFire (23,4 %) und GitHub (8,2 %). Dies zeigt, dass Angreifer neben gefälschten Websites auch bekannte Plattformen zur Verbreitung von Malware nutzen.
→ Zudem entdeckten die Forscher eine schädliche Website, die mithilfe einer KI-gestützten Plattform zur Website-Erstellung erstellt worden war. Daran sieht man, wie leicht Betrüger mit allgemein verfügbaren Tools neue, glaubwürdige schädliche Websites erstellen können.
Solche Bedrohungen machen deutlich, warum Schutzmaßnahmen bereits greifen müssen, bevor du etwas Schädliches auf dein Gerät herunterlädst. McAfee blockiert gefährliche Websites und Downloads, bevor sich Malware installieren kann, sodass du dich voll und ganz aufs Spielen konzentrieren kannst.
Hintergründe
Im Jahr 2026 hat sich die Taktik bei Malware deutlich verändert. Anstelle der herkömmlichen Methoden zur Kompromittierung des Perimeters kommen nun raffiniertere Methoden wie KI-gestütztes Phishing und der großflächige Einsatz von Infostealer-Malware zum Einsatz. Täglich werden über 560.000 neue Malware-Varianten erkannt, von denen Infostealer die aktivste Kategorie darstellen.
McAfee Labs hat zudem einen deutlichen Anstieg von MaaS-Kampagnen (Malware-as-a-Service) beobachtet, bei denen gegen einen geringen Betrag Zugang zu raffinierten Infostealern und Backdoor-Malware-Varianten angeboten wird. Im Rahmen dieser Kampagnen erhalten Käufer detaillierte Anleitungen, wie sie beliebte Spielesoftware angreifen, glaubwürdig wirkende Websites erstellen und SEO-Poisoning-Techniken anwenden können, um Spieler zu täuschen und deren Systeme zu infizieren.
Einführung
Vor kurzem hat McAfee Labs über eine MaaS-Kampagne namens „WeedHack“ berichtet, bei der mithilfe von SEO-Poisoning-Techniken über 116.464 Gamer infiziert wurden.
Den ursprünglichen Artikel (in englischer Sprache) kannst du hier nachlesen: Game Over: WeedHack – The Rise of Minecraft Malware-as-a-Service Campaigns
Im Zuge unserer Untersuchungen zu den Ausmaßen sind wir auf zahlreiche Websites und Datei-Hosting-Dienste gestoßen, die nach wie vor aktiv sind und die WeedHack-Malware verbreiten. In diesem Artikel stellen wir einige der auffälligsten Beispiele vor. Wir wollen damit unsere Leser für das Thema sensibilisieren und ihnen wichtige Tipps geben, wie sie schädliche Websites erkennen und meiden können.
Hinweis: Die nachfolgende Liste erhebt keinen Anspruch auf Vollständigkeit. Es können weitere Websites existieren, die in diesem Artikel nicht behandelt werden.
Schädliche Websites, die WeedHack verbreiten
Im Rahmen unserer Untersuchung der Kampagne haben wir festgestellt, dass die Mehrzahl der Websites einen seriösen Eindruck macht, da sie gut gestaltet sind und meist Kopien echter Websites sind. Wir haben eine Serie gezielter Angriffe beobachtet, bei denen die Angreifer Unternehmen imitieren und beliebte Minecraft-Clients ins Visier nehmen.
Den ersten Artikel haben wir in der ersten Juliwoche veröffentlicht, was zu einer Störung der WeedHack-Kampagne führte, denn der C2-Server war seitdem nicht mehr aktiv. Soweit wir beobachten konnten, haben die Angreifer daraufhin ihre Vorgehensweise geändert.
Das WeedHack-Dashboard wurde zwar stillgelegt, aber wir haben dennoch Websites entdeckt, die die WeedHack-Malware weiterhin aktiv verbreiten.
Die URLs stammten meistens von Datei-Hosting-Diensten:
- 49,6 % waren Discord-Links
- 23,4 % waren MediaFire-Links,
- 8,2 % waren GitHub-Links
- 4,6 % waren Dropbox-Links
Bei den restlichen URLs handelte es sich um Websites für Endkunden, mit denen Benutzer getäuscht werden sollen.
Im vergangenen Monat hat McAfee WebAdvisor mehr als 6.300 Benutzer daran gehindert, diese schädlichen Websites aufzurufen. Zum Zeitpunkt der Erstellung dieses Blog-Beitrags verteilten die folgenden Websites immer noch die Malware „WeedHack“.
Beispiel 1: glazed-client.com
Die Website „glazed-client.com“ ist eine Kopie der Original-Website „glazedclient.com“. Auf ihr wird ein kostenloses quelloffenes Minecraft-Add-on namens „Glazed Client“ angeboten, das speziell für DonutSMP-Server entwickelt wurde.
Die Website bietet eine Funktionsübersicht, ein Archiv, eine Seite mit Mitwirkenden sowie einen FAQ-Bereich. All diese Elemente finden sich genauso auch auf der Original-Website.
Unter „Downloads“werden drei Download-Optionen angeboten, von denen alle mit WeedHack infiziert sind.
Die Website bietet einen GitHub-Link, der zu einem echten GitHub-Repository führt, damit Besucher weniger Verdacht schöpfen.
Beispiel 2: radium-client.com
Die Website „radium-client.com“ ist eine Kopie der echten Website „radiumclient.com“. Auf der Original-Website wird der Minecraft-Client für 9,99 US-Dollar monatlich angeboten. Auf der schädlichen Website ist das Tool dagegen kostenlos erhältlich.
Die schädliche Website-Kopie bietet zudem eine ausführliche Seite mit Funktionen und Download-Möglichkeiten. Die heruntergeladene JAR-Datei ist mit WeedHack infiziert.
In diesem Fall enhält die schädliche Website einen Discord-Link, der dem auf der Original-Seite ähnelt, aber zu einem Kanal namens „EasyClients“ mit über 1.900 Mitgliedern führt..
Der Kanal bietet sieben verschiedene DonutSMP-Clients kostenlos an (siehe Abb. 7, rote Umrandung), die ebenfalls mit WeedHack infiziert sind.
Beispiel 3: seedcrackerx.github.io
In diesem Beispiel wird der GitHub-Webhosting-Dienst „GitHub.io“ von den Angreifern missbraucht. Sie imitieren hier das Tool „SeedCrackerX“, mit dem sich Minecraft-Seeds bestimmen lassen, anhand derer Minecraft-Welten generiert werden.
Auf diesem Bild ist zu sehen, dass die schädliche Website die Schriftarten und die Farbpalette der Original-Website „seedcrackerx.com“ imitiert. Die Website enthält zudem einen ausführlichen Bereich mit Tutorials und häufig gestellen Fragen, in dem die Besucher darüber informiert werden, wie das Tool ordnungsgemäß installiert wird.
Auf der Download-Seite stehen sieben Versionen zur Auswahl, von denen alle mit WeedHack infiziert sind (rote Umrandung). Die schädliche Website bietet zudem einen Link zum echten GitHub-Repository, unter dem das Tool „SeedCrackerX“ (grüne Umrandung) gehostet wird, um seriöser zu wirken.
Beispiel 4: xenoclient.lol und xenonclient.com
Der „Xenon Client“ ist ein beliebter Minecraft-Client, da er ressourcenschonend ist, einen Community-Ansatz hat und spezielle Funktionen für die unmodifizierte Version des Spiels bietet. Aufgrund seiner Beliebtheit ist der Client ein bevorzugtes Ziel für Angreifer.
Während unserer Untersuchungen stellten wir fest, dass die ersten beiden Google-Suchergebnisse für „Xenon Client“ Benutzer direkt auf die Websites (rote Umrandung) führten, die WeedHack verteilen.
Die Website „xenoclient.lol“ ist besonders erwähnenswert, da sie eine Vielzahl von Funktionen und Support-Möglichkeiten bietet. Die Website enthält umfassende Download- und Installationsanleitungen sowie einen FAQ-Bereich und eine Seite mit Mitwirkenden. Außerdem ist dort das Original-GitHub-Repository des Xenon-Clients verlinkt, und es gibt einen Community-Bereich für Spieler mit ähnlichen Interessen, was den seriösen Eindruck der Seite weiter verstärkt.
Die Seite bietet zwei Kaufoptionen für die kostenlose und die Premium-Version, wobei letztere 5 US-Dollar kostet.
Bei der kostenlosen Option werden sechs verschiedene Versionen für den „Main Client“ sowie weitere sechs Versionen für den Optimizer angeboten. Zum Zeitpunkt der Erstellung dieses Artikels war nur noch ein Download-Link funktionsfähig (rot umrandet), der eine mit WeedHack infizierte Payload überträgt.
Auch die Website „xenonclient.com“ nimmt Minecraft-Spieler ins Visier und ködert sie mit einer kostenlosen Version des Clients.
Wie bei den anderen Websites dieser Kampagne gibt es auch hier eine Installationsanleitung und eine Funktionsübersicht für den Xenon-Client, um die Seite glaubwürdiger erscheinen zu lassen.
Die von der Website heruntergeladene JAR-Datei infiziert die Systeme der Benutzer wieder mit WeedHack.
Beispiel 5: nova-client.com
Nova Client ist ein quelloffener Client, der für die Minecraft Bedrock Edition entwickelt wurde.
Der Client ist ein leichtes Ziel für Angreifer, da er über keine eigene offizielle Website verfügt. Der echte Client ist auf GitHub und Modrinth gehostet. Die Angreifer haben eine gefälschte Website erstellt und nutzen SEO-Poisoning-Techniken, um in den Suchergebnissen vor den offiziellen Seiten zu erscheinen.
Die Website enthält ebenfalls eine Seite mit Funktionen, eine Installationsanleitung und eine FAQ-Seite. Zudem gibt es Screenshots des echten Nova-Clients, die Benutzer täuschen sollen.
Interessanterweise haben die Angreifer auch eine Seite mit den Mitwirkenden erstellt, die es meist auch auf echten Websites von Minecraft-Clients gibt. Allerdings werden darin keine Personen namentlich genannt, die tatsächlich an dem Projekt mitgearbeitet haben; stattdessen wurden allgemeine Teambezeichnungen verwendet.
Auf der Download-Seite kann angeblich der Nova Client für Minecraft 1.21.11 heruntergeladen werden. Die Datei enthält jedoch die Malware WeedHack.
Beispiel 6: cheatlib.xyz
CheatLib wirbt damit, dass seine Clients bereits über 1,6 Millionen Mal heruntergeladen wurden, frei von Malware sind und dass Benutzer rund um die Uhr Support erhalten.
Ähnlich wie andere Websites dieser Art gibt es auch hier eine Installationsanleitung und einen FAQ-Bereich, in dem häufig auftretende Probleme beantwortet werden.
Die Seite bietet acht Minecraft-Mods und liefert Informationen darüber, welche Minecraft-Server und Anti-Cheat-Systeme sich damit umgehen lassen, und wie der aktuelle Status der einzelnen Mods ist.
Obwohl die Website acht verschiedene Mods anbietet, haben alle acht Dateien denselben Hash-Wert und verbreiten die WeedHack-Payload.
Auf der Website ist auch ein Discord-Kanal namens „CheatLib“ verlinkt, der über 220 Nutzer hat und ebenfalls Zugang zu Mods bietet, die mit WeedHack infiziert sind.
Beispiel 7: meteorclients.com
Die schädliche Domäne „meteorclients.com“ ist eine Kopie der seriösen Website „meteorclient.com“. Auf der kopierten Website steht, dass der Client angeblich über 10 Mio. Mal heruntergeladen wurde und über 15.000 aktive Nutzer hat.
Auf der Team-Seite stehen die Namen der tatsächlichen Meteor Client-Entwickler. Offenbar wurden sie von der offiziellen Projekt-Website kopiert, um die Kopie glaubwürdiger wirken zu lassen.
Zudem gibt es eine interaktive Vorschau des Meteor-Clients, anhand derer sich die Benutzer mit dem Client vertraut machen und ihn testen können. Die Website bietet eine einzige Datei zum Download, die mit WeedHack infiziert ist.
Beispiel 8: 22qq-client.com
22qq-client ist eine Minecraft-Mod für Crystal-PvP-Server.
Die Mod hat keine eigene Website, weshalb Angreifer sie gern für ihre Zwecke missbrauchen. Die Website soll als offizielle Seite für den Client dienen.
Mit Screenshots des echten Clients wollen die Angreifer Glaubwürdigkeit erzeugen.
Außerdem bieten sie eine interaktive Vorschau des Clients, um Benutzern eine Übersicht über die Funktionen zu geben. Auf der Website gibt es mehrere Download-Schaltflächen, doch über alle wird dieselbe mit WeedHack infizierte JAR-Datei heruntergeladen.
Beispiel 9: kryptonclientcrack.lovable.app
Der „Krypton Client“ ist ein kostenpflichtiges Minecraft-Tool für DonutSMP-Server, der unter „kryptonclient.org“ zu finden ist. Auf der schädlichen Variante der Seite wird angeblich eine gecrackte Version des Tools angeboten.
Die Angreifer verwendeten ein KI-gestütztes Tool namens „lovable.app“. Damit ist es möglich, funktionsfähige Webanwendungen und Websites mithilfe natürlicher Sprache zu erstellen und zu veröffentlichen. Mithilfe solcher Tools können Angreifer im Handumdrehen neue schädliche Domains einrichten.
Laut der Website wurde das Tool angeblich bereits über 5.000 Mal heruntergeladen und gründlich auf Sicherheit überprüft. Es wird eine einzige Download-Option angeboten, die mit WeedHack infiziert ist.
Beispiel 10: Datei-Hosting-Dienste
Im Zuge unserer Untersuchungen haben wir festgestellt, dass mehrere Angreifer verschiedene Datei-Hosting-Dienste zur Verteilung von Malware nutzen.
Links zu diesen Websites werden dann über verschiedene Kommunikationskanäle wie Discord, Reddit und andere Online-Plattformen verbreitet.
Außerdem haben wir beobachtet, dass die Bedrohungsakteure nicht nur Minecraft-Clients ins Visier nehmen, sondern auch verschiedene bekannte und unabhängige Community-Websites im Minecraft-Ökosystem.
Zum Zeitpunkt dieser Analyse verbreiteten die folgenden Links von Planet Minecart die Malware WeedHack.
hxxps://static.planetminecraft.com/files/resource_media/mod/mousetweaks-fabric-mc1-21-9-2-29.jar
hxxps://static.planetminecraft.com/files/resource_media/mod/no-delay-optimizer1-21-4.jar
Darüber hinaus ist auch die Community-Website EndMods ins Visier von WeedHack geraten.
Der folgende Link ist zum Zeitpunkt der Veröffentlichung dieses Artikels noch aktiv und verbreitet weiterhin die Malware WeedHack.
hxxps://endmods.com/wp-content/uploads/2026/02/KRYPTON-CLIENT1.0.zip
So schützt du dich im Internet
Bei McAfee Labs untersuchen wir Bedrohungen in der gesamten digitalen Landschaft. Häufig sind dabei Gamer das Ziel. Wir haben bereits mehrere MaaS-Kampagnen beobachtet, die ähnlich wie WeedHack mit gefälschten Downloads, kopierten Websites, schädlichen Mods und anderen Ködern Gaming-Communitys ins Visier nehmen.
KI-gestützte Tools machen es Betrügern häufig deutlich leichter, überzeugende Websites zu erstellen, seriöse Dienste zu imitieren und Kampagnen in großem Maßstab zu starten. Daher ist es umso wichtiger, zunächst zu prüfen, was du wo herunterlädst.
Mit den folgenden Empfehlungen und Methoden können sich Gamer besser schützen:
→ Nutze nur vertrauenswürdige Quellen. Lade Spiele, Mods, Clients und andere Dateien möglichst nur von den offiziellen Websites der Entwickler oder von seriösen Mod-Plattformen herunter. Lade die Datei nicht herunter, wenn du nicht bestätigen kannst, wer für die Seite verantwortlich ist.
→ Deaktiviere deine Sicherheitssoftware niemals für einen Download. Sei misstrauisch gegenüber Mods, Cheats oder Clients, für die du deinen Virenschutz oder andere Schutzmaßnahmen vor der Installation deaktivieren sollst.
→ Scanne Dateien, bevor du sie öffnest. Überprüfe heruntergeladene Mods, Installationsprogramme und Archive, bevor du sie ausführst bzw. öffnest – selbst wenn sie von einer beliebten Gaming-Community oder einer bekannten Website stammen.
→ Sei skeptisch gegenüber Angeboten, die extrem gut erscheinen. Angeblich kostenlose Premium-Funktionen, exklusive Cheats, gecrackte Software oder kostenpflichtige Clients werden häufig als Köder missbraucht, um Spieler zum Herunterladen von Malware zu verleiten.
→ Überprüfe die URL, bevor du eine Datei herunterlädst. Häufig erstellen Betrüger ähnlich aussehende Domänen und glaubwürdige Kopien seriöser Gaming-Seiten. Kleine Änderungen an einer Webadresse können ein Warnsignal sein, dass du dich auf einer gefälschten Website befindest.
→ Beachte Sicherheitswarnungen. Sollte dein Virenschutz einen Download als verdächtig kennzeichen, solltest du nicht automatisch davon ausgehen, dass es sich um einen Fehlalarm handelt. Nimm dir einen Moment Zeit, und prüfe die Datei, bevor du sie öffnest.
→ Halte deine Geräte und deine Software auf dem neuesten Stand. Installiere Updates für dein Betriebssystem, deinen Browser, deine Spiele und deine Sicherheitssoftware, um dich vor bekannten Sicherheitslücken zu schützen.
Kompromittierungsindikatoren
| hxxps://glazed-client.com/ |
| hxxps://github.com/Hl3n/GambleRigMod |
| hxxps://www.radium-client.com/ |
| hxxps://discord.com/channels/1467145812906872834/ |
| hxxps://seedcrackerx.github.io/ |
| hxxps://github.com/seedcrackerx/seedcrackerx.github.io |
| hxxps://xenonclient.com/ |
| hxxps://xenoclient.lol |
| hxxps://nova-client.com/ |
| hxxps://cheatlib.xyz/ |
| hxxps://discord.com/channels/1478170973755936990 |
| hxxps://meteorclients.com |
| hxxp://22qq-client.com/ |
| hxxps://kryptonclientcrack.lovable.app |
| hxxps://github.com/lsellh/ |
| hxxps://static.planetminecraft.com/files/resource_media/mod/mousetweaks-fabric-mc1-21-9-2-29.jar |
| hxxps://static.planetminecraft.com/files/resource_media/mod/no-delay-optimizer1-21-4.jar |
| hxxps://endmods.com/wp-content/uploads/2026/02/KRYPTON-CLIENT1.0.zip |
Bleiben Sie auf dem Laufenden
Folgen Sie uns, um alle Neuigkeiten von McAfee und zu aktuellen Sicherheitsbedrohungen für Privatanwender und Mobilgeräte zu erfahren.
