Исследователи Check Point обнаружили многоступенчатую кампанию распространения вредоносных модов для Minecraft, за которой стоит группа Stargazers Ghost Network. Злоумышленники размещают фальшивые моды на GitHub под видом популярных скриптов Oringo, Taunahi и других, маскируя их под легальные модификации для клиента Forge 1.8.9. Все этапы атаки ориентированы на систему, где установлен Minecraft, что помогает обходить антивирусные системы.
На первом этапе жертва вручную устанавливает JAR-мод, который, пройдя анализ виртуальной среды и системных процессов, загружает второй компонент — Java Stealer. Этот модуль крадёт токены Minecraft-лаунчеров (Feather, Lunar, Essential), Discord, Telegram и IP-адрес пользователя. На третьем этапе запускается .NET-стилер с обширным набором функций, включая кражу браузерных паролей, криптокошельков (Bitcoin, Monero, Zcash и др.), VPN-учётных данных, файлов Steam и даже скриншотов рабочего стола.
Инфраструктура атаки работает через Pastebin и внешний сервер 147.45.79.104. Вредоносный код содержит артефакты и комментарии на русском языке, а активности коммитов на GitHub указывают на часовой пояс UTC+3, что позволяет предположить русскоязычное происхождение группировки. Имя одного из авторов — JoeBidenMama — используется в Pastebin для получения ссылок и статистики заражений (более 1500 загрузок).
Особое внимание заслуживает тот факт, что вредоносные моды полностью реализованы на Java и эффективно маскируются под Forge-плагины. Они не определяются системами безопасности, так как не запускаются вне Minecraft. Это подчёркивает опасность загрузки модификаций из неофициальных источников, особенно в популярных сообществах.