Gefälschte Cheats für Roblox und Fortnite enthielten den Gratis-Passwortdieb Marsalek
Gefälschte Cheats und Tools für Roblox, Fortnite, Minecraft und Counter-Strike 2 enthielten den Passwortdieb Marsalek. Das steht in einem Bericht, den McAfee Labs am 4. November veröffentlicht hat. Der Dienst lief von Mitte Dezember 2025 bis etwa Ende Mai 2026 und war kostenlos: Jeder konnte sich auf einer öffentlichen Seite anmelden, eine infizierte Datei bauen und die Opfer in einem Dashboard verfolgen. McAfee zählte mehr als 1.560 registrierte Konten, über 400 Schaddateien und mehr als 29 Webadressen, über die sie verteilt wurden.
Was die gefälschten Dateien abgreifen
Die Dateien gaben sich als Script-Executors für Roblox, Minecraft-Clients, Fortnite-Tweaks und CS2-Cheats aus, außerdem als Discord-Werkzeuge und Krypto-Apps. Verteilt wurden sie über gefälschte Websites und Discord. Eine Variante kam ganz ohne Download aus: Eine als Cloudflare-CAPTCHA getarnte Seite führte einen schädlichen PowerShell-Befehl aus.
Nach dem Start verschafft sich Marsalek Administratorrechte, indem er die Windows-Abfrage versteckt und selbst Enter drückt. Danach trägt er Ausnahmen in Microsoft Defender ein, damit die nächsten Dateien nicht geprüft werden.
Die Beute ist breit gestreut:
- Browser: Passwörter und Cookies aus mehr als 32 Chromium-Browsern. Bei Chrome, Edge und Brave umgeht er die App-Bound Encryption von Chrome.
- Messenger: Discord-Tokens von 26 Speicherorten und Telegram-Sitzungsdaten.
- Krypto: über 56 Browser-Erweiterungen und 12 Wallet-Apps. In die Desktop-Apps Exodus und Atomic Wallet baut er Hintertüren ein.
- Weitere Daten: Angaben zum eingerichteten Mullvad-VPN-Konto sowie Dateien vom Desktop und aus dem Download-Ordner, deren Namen Wörter wie "wallet" oder "paypal" enthalten.
Um solche Sitzungen ging es auch im ukrainischen Fall um 610.000 Roblox-Konten. Ein Sitzungscookie öffnet ein Konto ohne Passwort, und gefälschte Spiele-Downloads sind ein bekannter Weg, um daran zu kommen. So war es auch bei den gefälschten GTA-6-Seiten mit dem Stealer Vidar.
Das Gratis-Kit bestahl auch seine eigenen Nutzer
Auch die Kunden von Marsalek waren Ziel. In der letzten Stufe der Infektion landet ein zweiter Stealer namens PureLog auf dem Rechner, der seine Daten an einen eigenen Server schickt. McAfee spricht von einem doppelten Haken: Der Kunde glaubt, die gestohlenen Logins gehörten nur ihm, doch der Autor des Kits besitzt eine Kopie und kann die Konten wertvoller Opfer zuerst nutzen.
Ein Bezahltarif blieb bei "coming soon". Laut McAfee hätte Zahlen auch nichts geändert, denn der Betreiber konnte die Server jederzeit abschalten und mit Daten und Gebühren verschwinden. Eine FAQ im Dashboard erklärte, wie sich gestohlene Cookies und Tokens nutzen lassen und wie man Krypto über Monero wäscht.
McAfee bringt Marsalek mit WeedHack in Verbindung, einem ähnlichen Dienst gegen Minecraft-Spieler: Beide schickten Kunden in denselben Telegram-Supportkanal. Am häufigsten tauchte Marsalek in den USA auf, gefolgt von Deutschland, Großbritannien, Indien und Brasilien.
Was Sie zu Hause prüfen sollten
McAfee nennt Warnzeichen: eine .exe-Datei, die jemand auf Discord teilt, eine "gecrackte" Version eines neuen Spiels auf einer schicken Website und jedes Tool, dessen Seite behauptet, Virenscanner irrten sich und müssten abgeschaltet werden. Spielen Kinder am Familienrechner, fragen Sie nach, was sie zuletzt installiert haben.
Wurde eine solche Datei gestartet, gilt der Rechner als kompromittiert:
- Ändern Sie von einem anderen, sauberen Gerät aus die Passwörter, zuerst das für die E-Mail.
- Melden Sie alle Sitzungen bei Discord, Telegram, Google und in Spielekonten ab, denn gestohlene Cookies können auch nach einer Passwortänderung funktionieren.
- Verschieben Sie Krypto in eine neue Wallet, die auf einem sauberen Gerät erstellt wurde.
- Installieren Sie Windows neu. Der Stealer ändert Defender-Einstellungen und legt eigene geplante Aufgaben an, das Löschen der Datei reicht also nicht.
McAfee warnt außerdem, dass Angreifer Opfer manchmal direkt anschreiben und behaupten, deren IP-Adresse oder Webcam zu kontrollieren. Kinder sollten dann einem Elternteil oder Erziehungsberechtigten Bescheid sagen und den Anweisungen nicht folgen.
