Falsi cheat per Roblox e Fortnite nascondevano Marsalek, un ladro di password gratuito
Falsi cheat e strumenti per Roblox, Fortnite, Minecraft e Counter-Strike 2 nascondevano un ladro di password chiamato Marsalek, secondo un rapporto pubblicato da McAfee Labs il 4 novembre. Il servizio è rimasto attivo da metà dicembre 2025 fino a circa la fine di maggio 2026 ed era gratuito: chiunque poteva iscriversi su un sito pubblico, creare un file infetto e seguire le vittime da una dashboard. McAfee ha contato oltre 1.560 account registrati, più di 400 file dannosi e oltre 29 indirizzi web che li diffondevano.
Cosa sottraggono i file falsi
I file si spacciavano per esecutori di script per Roblox, client di Minecraft, modifiche per Fortnite e cheat per CS2, oltre che per utility di Discord e app per criptovalute. Circolavano tramite siti falsi e Discord. Una variante non richiedeva nemmeno il download: una pagina travestita da verifica CAPTCHA di Cloudflare eseguiva un comando PowerShell dannoso.
Una volta avviato, Marsalek ottiene i diritti di amministratore nascondendo la richiesta di Windows e premendo Invio da solo. Poi aggiunge esclusioni a Microsoft Defender perché i file successivi non vengano analizzati.
Il furto è ampio:
- Browser: password e cookie di oltre 32 browser basati su Chromium. Su Chrome, Edge e Brave aggira l'App-Bound Encryption di Chrome.
- Messaggistica: token di Discord da 26 posizioni sul disco e dati di sessione di Telegram.
- Criptovalute: oltre 56 estensioni del browser e 12 app di portafoglio, con backdoor nelle app desktop Exodus e Atomic Wallet.
- Altri dati: informazioni sull'account Mullvad VPN configurato sul computer e file del desktop e della cartella Download con nomi che contengono parole come "wallet" o "paypal".
Le stesse sessioni erano il bottino nel caso ucraino dei 610.000 account Roblox. Un cookie di sessione apre un account senza password, e i falsi download di giochi sono un modo noto per ottenerlo, come nel caso dei falsi siti di GTA 6 che distribuivano lo stealer Vidar.
Il kit gratuito derubava anche i suoi utenti
Anche i clienti di Marsalek erano un bersaglio. L'ultima fase dell'infezione installa un secondo ladro, PureLog, che invia i dati a un server separato. McAfee lo chiama doppio amo: il cliente pensa che le credenziali rubate siano solo sue, mentre l'autore del kit ne conserva una copia e può usare per primo gli account di una vittima di valore.
Il piano a pagamento è rimasto fermo a "coming soon". Secondo McAfee pagare non avrebbe aiutato, perché il proprietario poteva spegnere i server in qualsiasi momento e sparire con dati e soldi. Le FAQ della dashboard spiegavano come usare cookie e token rubati e come riciclare criptovalute tramite Monero.
McAfee collega Marsalek a WeedHack, un servizio simile rivolto ai giocatori di Minecraft, perché entrambi rimandavano i clienti allo stesso canale di assistenza su Telegram. Marsalek è stato rilevato soprattutto negli Stati Uniti, seguiti da Germania, Regno Unito, India e Brasile.
Cosa controllare a casa
McAfee indica i segnali d'allarme: un file .exe condiviso da un altro utente su Discord, una versione "crackata" di un gioco nuovo su un sito curato e qualsiasi strumento il cui sito sostiene che l'antivirus sbaglia e va disattivato. Se i bambini giocano sul computer di famiglia, chiedete cosa hanno installato di recente.
Se qualcuno ha avviato un file del genere, considerate il computer compromesso:
- Da un altro dispositivo pulito cambiate le password, iniziando da quella dell'email.
- Chiudete tutte le sessioni su Discord, Telegram, Google e negli account di gioco, perché i cookie rubati possono funzionare anche dopo il cambio della password.
- Spostate le criptovalute in un nuovo portafoglio creato su un dispositivo pulito.
- Reinstallate Windows. Il malware modifica le impostazioni di Defender e crea proprie attività pianificate, quindi cancellare il file non basta.
McAfee avverte anche che a volte gli aggressori contattano direttamente le vittime, sostenendo di avere il loro indirizzo IP o l'accesso alla webcam. I bambini che ricevono un messaggio simile dovrebbero parlarne con un genitore o tutore e non seguire le istruzioni.
