Хакеры скрывают вредоносное ПО Marsalek в поддельных Roblox, Fortnite, Minecraft и Counter-Strike 2

Киберпреступники прячут вредонос для кражи данных Marsalek в поддельных читах, игровых клиентах и утилитах для Roblox, Fortnite, Minecraft и Counter-Strike 2. Заражённые файлы забирают пароли, cookies браузеров, токены Discord, данные криптокошельков и VPN-аккаунтов. Исследователи McAfee Labs, опубликовавшие разбор 4 ноября 2026 года, нашли более 400 вредоносных файлов и свыше 29 адресов распространения.

Marsalek работал с середины декабря 2025 года до конца мая 2026 года по модели Malware-as-a-Service, то есть вредоносной программы как услуги. На платформе с конструктором заражённых файлов и панелью управления зарегистрировались более 1560 аккаунтов, а бесплатная версия не требовала ни учётной записи Discord, ни адреса электронной почты.

Преступники подделывали скрипт-исполнители для Roblox Swift и Solara, клиенты Minecraft Shadow Client и Boss Client, файл Fortnite_tweaks.exe и вредоносный скрипт для Counter-Strike 2. Файлы расходились через сайты-клоны, Discord и GitHub. Первичное заражение происходит одним из четырёх способов:

• исполняемые EXE-файлы;
• скрипты PowerShell;
• Python-файлы;
• страницы с механизмом ClickFix.

ClickFix убеждает пользователя самому запустить команду в Windows, например под предлогом проверки Cloudflare. Установщик скачивает портативную среду Python, пытается получить права администратора, скрывает окно запроса и сам нажимает Enter. После этого Marsalek добавляет в исключения Microsoft Defender восемь путей и 15 процессов, и следующие компоненты реже попадают в поле зрения антивируса.

Основной модуль svc.py проверяет 32 браузера на базе Chromium и Firefox, среди них Chrome, Edge, Brave, Opera и Яндекс Браузер, а также 56 расширений, в том числе криптовалютных.

Marsalek обходит App-Bound Encryption, защиту Chrome от доступа сторонних программ к зашифрованным данным браузера. Он запускает Chrome, Edge или Brave в приостановленном состоянии, внедряет в процесс вредоносную DLL-библиотеку и обращается через неё к штатной службе расшифровки. Запрос исходит из настоящего браузера, поэтому проверка пропускает его. В Exodus и Atomic Wallet программа способна подменить два файла формата ASAR, поэтому удаления первоначального EXE-файла может не хватить.

Помимо браузеров Marsalek забирает пять видов данных:

• токены Discord из 26 путей вместе с адресом почты, номером телефона и именем профиля;
• локальные сессии Telegram;
• сведения об аккаунте Mullvad VPN;
• документы по 24 поисковым словам, среди них «password», «wallet» и «seed»;
• данные 12 настольных криптокошельков, среди них Exodus, Electrum и Monero.

Яндекс Браузер и Telegram, которыми пользуются миллионы россиян, стоят в списке целей наравне с Chrome и Discord. Украденные cookies открывают аккаунт без пароля, поэтому одной смены пароля мало, если не отозвать активные сеансы.

Marsalek работает по схеме dual-hook, и вместе с ним на компьютер попадает второй инфостилер PureLog, который собирает похожие сведения и отправляет их на отдельный сервер. PureLog продаётся на подпольном рынке примерно от $59 в месяц. Он проверяет более 35 браузеров, 48 расширений и 12 настольных приложений, снимает скриншот экрана и закрепляется через задание планировщика Windows.

Покупатель Marsalek, который раздаёт программу под видом своих читов, рассчитывает на эксклюзивный доступ к паролям и кошелькам, но копию данных через PureLog получает и оператор платформы. Если на заражённом компьютере нашлось что-то ценное, владелец сервиса способен воспользоваться чужими аккаунтами раньше своего клиента. Воры обкрадывают воров, а расплачивается игрок. Панель Marsalek предоставляла операторам:

• список заражённых устройств;
• сведения о собранных данных;
• географическую карту жертв;
• инструменты для загрузки новых вредоносных файлов.

McAfee связала Marsalek с платформой WeedHack, которая заражала игроков Minecraft, по общему Telegram-каналу поддержки @MetaMaskenMann. Marsalek встречался в основном в США, далее идут Германия, Великобритания, Индия, Бразилия, Польша, Нидерланды, Италия и Канада. В первую девятку Россия не вошла, но в Minecraft и Counter-Strike 2 играют и российские пользователи, а сайты-клоны и ссылки на GitHub открываются у любого, кто ищет читы.

Если чит уже запускался, пароли и сессии стоит считать скомпрометированными и менять их с чистого устройства, отзывая активные сеансы. Средства с криптокошельков нужно перевести на новый кошелёк с новой секретной фразой, а старую seed-фразу больше не использовать. Компьютер лучше очистить переустановкой Windows после сохранения личных файлов, потому что удаление подозрительного файла не устраняет все механизмы закрепления.

Настоящая проверка Cloudflare не просит запускать команды в терминале Windows, поэтому страница, которая этого требует, оказывается ловушкой. Исследователи порекомендовали придерживаться четырёх правил:

• скачивать клиенты, моды и утилиты только с официальных сайтов, ведь ссылка на GitHub или Discord ничего не гарантирует;
• не верить предложениям получить платный инструмент бесплатно;
• не отключать антивирус ради установки;
• не выполнять команды PowerShell ради прохождения CAPTCHA.

Эксперты CISOCLUB отметили, что поддельные читы остаются удобным способом доставки вредоносной программы, потому что игрок сам ищет неофициальный софт, сам отключает антивирус и сам запускает файл. ClickFix усиливает этот эффект, поскольку вредоносную команду выполняет человек, и часть технических фильтров не срабатывает. Схема dual-hook показывает, что доверия нет даже внутри подпольного рынка. Модель MaaS снижает порог входа, поэтому похожие кампании будут появляться снова и под новыми названиями. Украденные cookies и токены сессий нередко ценнее паролей, потому что открывают аккаунт в обход двухфакторной аутентификации. Если игрок заходит в рабочие сервисы с того же браузера, под угрозой оказываются и корпоративные системы.

Ранее сообщалось, что киберпреступники распространяют вредоносное ПО под видом утёкших сборок и установщиков Grand Theft Auto VI. Исследователи Netcraft обнаружили более 120 новых доменов, на которых размещены поддельные ссылки для скачивания игры. Специалисты Huntress и Malwarebytes также изучили несколько вредоносных кампаний: вместо обещанной игры пользователи получали трояны удалённого доступа, программы для кражи паролей и вайпер, способный уничтожать файлы на компьютере ещё до запуска игры. Официальный релиз GTA VI запланирован на 19 ноября 2026 года. При этом Rockstar Games пока не объявляла о выпуске версий для ПК и мобильных устройств.

Meta — запрещённая в России и признанная экстремистская американская корпорация