Под видом читов для Roblox и Fortnite раздавали бесплатный стилер паролей Marsalek
Поддельные читы и утилиты для Roblox, Fortnite, Minecraft и Counter-Strike 2 скрывали стилер паролей Marsalek. Об этом говорится в отчёте McAfee Labs от 4 ноября. Сервис работал с середины декабря 2025 года примерно до конца мая 2026-го и был бесплатным: любой мог зарегистрироваться на открытом сайте, собрать заражённый файл и следить за жертвами в личном кабинете. McAfee насчитала более 1560 зарегистрированных аккаунтов, свыше 400 вредоносных файлов и больше 29 адресов, откуда они раздавались.
Что забирают поддельные файлы
Файлы выдавали себя за скрипт-экзекуторы для Roblox, клиенты Minecraft, твики для Fortnite и читы для CS2, а также за утилиты для Discord и криптоприложения. Раздавали их через поддельные сайты и Discord. В одном из вариантов скачивать ничего не требовалось: страница под видом проверки Cloudflare CAPTCHA запускала вредоносную команду PowerShell.
После запуска Marsalek получает права администратора: скрывает запрос Windows на разрешение и сам нажимает Enter. Затем он добавляет исключения в Microsoft Defender, чтобы следующие файлы не проверялись.
Украсть он пытается многое:
- Браузеры: пароли и cookie из более чем 32 браузеров на Chromium. В Chrome, Edge и Brave он обходит защиту App-Bound Encryption.
- Мессенджеры: токены Discord из 26 мест на диске и данные сессии Telegram.
- Криптовалюта: более 56 расширений браузера и 12 приложений-кошельков. В настольные Exodus и Atomic Wallet он встраивает бэкдоры.
- Другие данные: сведения об аккаунте Mullvad VPN на компьютере и файлы с рабочего стола и из «Загрузок», в названиях которых есть слова вроде wallet или paypal.
Те же сессии были главной добычей в украинском деле о 610 тысячах аккаунтов Roblox. Сессионный cookie открывает аккаунт без пароля, а поддельные игровые загрузки давно стали обычным способом его получить. Так было и с фальшивыми сайтами GTA 6, раздававшими стилер Vidar.
Бесплатный набор обкрадывал и своих клиентов
Клиенты Marsalek тоже оказались мишенью. На последнем этапе заражения ставится второй стилер, PureLog, и он отправляет данные на отдельный сервер. McAfee называет это двойным крючком: клиент думает, что украденные логины достались только ему, а копия есть и у автора набора, который может первым воспользоваться аккаунтами ценной жертвы.
Платный тариф так и остался с пометкой «скоро». По словам McAfee, оплата бы не помогла: владелец мог в любой момент отключить серверы и исчезнуть с данными и деньгами. Встроенный в кабинет FAQ объяснял, как пользоваться украденными cookie и токенами и как отмывать криптовалюту через Monero.
McAfee связывает Marsalek с WeedHack, похожим сервисом против игроков Minecraft: оба отправляли клиентов в один и тот же канал поддержки в Telegram. Чаще всего Marsalek встречался в США, затем в Германии, Великобритании, Индии и Бразилии.
Что проверить дома
McAfee называет тревожные признаки: файл .exe, который прислал другой пользователь в Discord, «взломанная» версия новой игры на красивом сайте и любая программа, сайт которой уверяет, что антивирус ошибается и его нужно выключить. Если на семейном компьютере играют дети, спросите, что они ставили в последнее время.
Если такой файл всё же запускали, считайте компьютер заражённым:
- С другого, чистого устройства смените пароли, начиная с почты.
- Завершите все сессии в Discord, Telegram, Google и игровых аккаунтах: украденные cookie могут работать и после смены пароля.
- Переведите криптовалюту в новый кошелёк, созданный на чистом устройстве.
- Переустановите Windows. Стилер меняет настройки Defender и создаёт свои задачи в планировщике, поэтому удалить файл недостаточно.
McAfee также предупреждает, что злоумышленники иногда пишут жертвам напрямую и утверждают, что знают их IP-адрес или получили доступ к веб-камере. Детям в такой ситуации стоит рассказать обо всём родителям или опекунам и не выполнять требования.
