マインクラフトの偽クライアントを騙るマルウェア「Weedhack」が拡散、検索上位やDiscordを悪用

要点

• 人気ゲーム「Minecraft」の正規ツールやクライアントを装い、情報窃取マルウェア「Weedhack」を配布する攻撃が継続している。

• セキュリティ企業のMcAfee Labsは、悪質なサイトへのアクセス試行を6,300件以上検知・ブロックした。

• 攻撃者はSEOポイズニングで検索エンジンの最上位に偽サイトを表示させ、Discordや正規コミュニティも配布経路に悪用している。

• AI Webサイトビルダー「Lovable」で制作された偽サイトも確認されており、攻撃サイト構築の手軽化が指摘されている。

• 人気ゲーム「Minecraft（マインクラフト）」のクライアントソフトや関連ツールを装い、情報窃取マルウェア「Weedhack」を拡散させるサイバー攻撃が続いていることが明らかになった。セキュリティ企業のMcAfee Labsが2026年8月に発表したレポートによると、攻撃者は正規プロジェクトを模倣した偽Webサイトや検索結果の不正操作（SEOポイズニング）を用いてゲーマーを狙っているという。

正規プロジェクトを精巧に模倣する偽Webサイト

McAfee Labsによると、同社はWeedhackを配布する悪意あるサイトへのアクセス試行をこれまでに6,300件以上検知・ブロックした。攻撃者が用意した偽サイトは、ブランドロゴや機能一覧、FAQ、導入ガイド、開発者クレジット、さらには正規のGitHubリポジトリへのリンクに至るまで、本物のプロジェクトを忠実に複製して作られていたという。

確認された偽サイトには、オープンソースのアドオンを模倣した「glazed-client[.]com」や有料クライアントを騙る「radium-client[.]com」、シード値解析ツールを装う「seedcrackerx.github[.]io」などが含まれる。また、AIを活用したWebサイト制作サービス「Lovable」を用いて構築された偽サイト（kryptonclientcrack.lovable[.]app）も特定されており、誰でも利用できるツールの普及によって、説得力のある悪質なサイトの作成ハードルが下がっている実態が示された。

検索結果の上位表示と多様な配布チャネル

今回の攻撃では、検索エンジンの検索結果を不正に操作して悪質なページを上位に表示させる「SEOポイズニング」が積極的に利用されている。オープンソースクライアント「Nova Client」や「Xenon Client」の偽サイトは、Google、Microsoft Bing、Brave Search、DuckDuckGoなどの主要検索エンジンにおいて、検索結果のトップに表示されていたという。

正規のクライアントはGitHubやModrinthで公開されているが、攻撃者はSEOポイズニングによって公式配布元よりも上位に偽サイトをランクインさせ、ソフトウェアを探すユーザーを罠に誘い込んでいたとMcAfee Labsは説明している。

さらに、偽サイトだけでなく既存の著名プラットフォームもマルウェアの配布に悪用されている。McAfee Labsの研究者であるアーユシュ・ティヤギ（Aayush Tyagi）氏によると、悪意あるURLの49.6%がコミュニケーションツール「Discord」のリンクであり、「MediaFire」が23.4%、「GitHub」が8.2%を占めていた。攻撃者はDiscordやRedditでの情報拡散に加え、「Planet Minecart」や「EndMods」といったMinecraftの正規コミュニティサイトにも悪意あるファイルを直接配置していた。

「Weedhack」の侵入プロセスとシステムへの影響

Weedhackは2026年6月にMcAfeeによって初めて報告されたマルウェアで、当時はYouTubeやSEOポイズニングを通じて不正ドメインへ誘導する手口が確認されていた。

被害者が偽サイト等からファイルをダウンロードして実行すると、多段階の攻撃プロセスが開始され、最終的にJAR形式（Javaアプリケーションの配布形式）のペイロードが展開される。このペイロードはシステム情報を収集するほか、検知を避けるために「Microsoft Defender」の除外設定を追加し、端末内の機密データを窃取する機能を備えているという。

推奨される対策と背景

McAfee Labsは被害防止策として、端末を最新の状態に維持すること、信頼できる公式ソースからのみソフトウェアを入手すること、実行前にセキュリティソフトでファイルをスキャンすることを推奨している。また、Modやツールの導入時にセキュリティ保護機能の無効化を求められた場合は、強い警戒が必要だとしている。

なお、オープンソースやフリーソフトを騙るSEOポイズニング攻撃は相次いでいる。2026年6月にもセキュリティ企業のCheck Pointが、フリーソフト等を装いトラフィック配信システム（TDS）経由でRemus Stealerなどを配布する大規模キャンペーンを報告していた。