Как Minecraft-мод Meowcraft оказался дроппером для стилера

Eric Parker разобрал модпак Meowcraft: к нему пришли через взломанный аккаунт знакомого, без грубой "срочности" и типичных красных флагов. После запуска у жертвы вылетела сессия Minecraft, а игра начала вести себя странно.

По разбору в видео, модпак для Fabric 1.21 выглядел подозрительно бедно: один маленький мод, пачка конфигов под отсутствующие моды, без ресурсов и шейдеров. При запуске мод поднимал Minecraft как ширму: создавал в %TEMP% файл, замаскированный под javaw.exe, запрашивал права администратора и уже после этого давал игре открыться. Удобный трюк на отвлечение: пользователь видит Minecraft и думает, что всё нормально.

Дальше хуже. Процесс порождал cmd, прогонял антианализ и запускал большой PowerShell-скрипт, закодированный в base64. Статический разбор свел схему к простому дропперу: мод скачивает и исполняет внешний файл. В Any.Run Parker увидел поведение стилера: проверка пользователя и IP, скрытый перезапуск, завершение браузеров, попытки украсть браузерные данные, Minecraft-сессию и Discord. Discord тут не просто лут, а через захваченные аккаунты помогают рассылать мод дальше от имени живых людей.

По внешнему контексту кейс не выглядит единичным: Kaspersky уже описывал кампании, где Minecraft-тематика, моды и особенно читы использовались как приманка для загрузчиков и стилеров. Поэтому практический вывод скучный: Java-мод в Minecraft — это обычный код с правами процесса игры, а не просто набор шейдейров итекстур. Если мод пришел в личку, даже от знакомого, и просит запуск или админку, относиться к нему надо как к исполняемому файлу из мутного архива. Проверять стоит не описание, а происхождение, содержимое JAR, сетевые вызовы и поведение в песочнице.

🔗 Источник: оригинальное видео

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK

🐻 Бесплатный дистрибутив GitFlic 4.12.0 доступен для скачивания по ссылке

❗️ Для корректной работы CI/CD не забудьте обновить Агент GitFlic

Дистрибутив на GitHub

Чат в MAX|Новости в MAX|

#обновление

Spacie v1.3.0 Released
https://github.com/AlexGladkov/Spacie/releases/tag/v1.3.0

Главное — iTransfer для iOS приложений 🔥🔥

Новый мастер переноса приложений с iPhone на Mac и обратно. Раньше Spacie умел только показывать что занимает место на Mac — теперь можно:

👉 Скачать любое приложение с iPhone к себе на Mac в виде IPA архива (Wi-Fi или кабель)
👉 Установить IPA обратно на iPhone одной кнопкой (полезно для бэкапов любимых приложений, которые удалили из App Store)
👉 Перенести батч приложений между двумя iPhone — выбрал список, нажал старт, ушёл пить кофе
👉 Локальная библиотека архивов — все скачанные IPA хранятся отдельно с иконками, версиями, размерами. Видно когда был сделан архив
👉 Авторизация через Apple ID (с поддержкой 2FA). Пароль безопасно передаётся через PTY — другие процессы системы его не видят.

Внутри iTransfer: проверка зависимостей (libimobiledevice через Homebrew), trust pairing, прогресс по каждому приложению, отмена в любой момент.

Сканирование диска — заметно шустрее 🔥

👉 Клик по диску теперь открывает результаты в ~10 раз быстрее на больших объёмах. Раньше после нажатия было до 10 секунд пустоты — теперь сразу видно прогресс и быстро попадаешь к данным
👉 Везде где идёт долгая операция теперь крутится спиннер с понятным текстом — нет ощущения "вроде ничего не происходит"

Удаление из списка больших файлов

👉 Правый клик в Large Files / Old Files → "Move to Trash" (или ⌘⌫)
👉 Multi-select — выделил несколько → один confirm → все удалены
👉 Подтверждение показывает сколько места освободится
👉 Если файл уже куда-то делся — просто убирается из списка без раздражающей ошибки

Под капотом
Приложение переписано на Kotlin Multiplatform. В следующих версиях появятся сборки под Windows и Linux