Besonders wirksam ist die Manipulation der Suchergebnisse: Die Seiten für Xenon Client und Nova Client erscheinen laut McAfee Labs bei verschiedenen Suchmaschinen — darunter Google, Microsoft Bing, Brave Search und DuckDuckGo — ganz oben, sodass ahnungslose Nutzer die mit Weedhack präparierten Clients herunterladen.
“Der legitime Client wird auf GitHub und Modrinth gehostet; die Angreifer haben jedoch eine gefälschte Website erstellt und mit SEO-Poisoning-Techniken die offiziellen Quellen in den Suchergebnissen überholt”, erklärte McAfee Labs.
Die Verbreitung beschränkt sich nicht auf gefälschte Domains. Auch Filehosting-Dienste und GitHub-Repositorien dienen als Ablageorte, die zugehörigen Links werden über Discord, Reddit und weitere Kommunikationskanäle gestreut. Zusätzlich beobachteten die Forscher, dass die JAR-Dateien auf Planet Minecart und EndMods abgelegt wurden — beides an sich seriöse Anlaufstellen für Minecraft-Werkzeuge und -Erweiterungen.
Die Verteilung der bösartigen URLs zeigt, wie stark die Kampagne auf etablierte Plattformen setzt: “Fast die Hälfte der identifizierten bösartigen URLs waren Discord-Links (49,6 Prozent), gefolgt von MediaFire (23,4 Prozent) und GitHub (8,2 Prozent). Das zeigt, wie Angreifer vertraute Plattformen parallel zu gefälschten Websites für die Verbreitung von Schadsoftware nutzen können”, sagte McAfee-Labs-Forscher Aayush Tyagi.
Als Gegenmaßnahmen empfiehlt McAfee, Geräte aktuell zu halten, ausschließlich vertrauenswürdige Bezugsquellen zu nutzen, Dateien vor dem Öffnen zu scannen und besonders misstrauisch zu sein, wenn eine Mod oder ein Cheat vor der Installation dazu auffordert, Schutzfunktionen abzuschalten.
SEO-Poisoning rund um populäre Software ist kein neues Muster. Check Point hatte im Juni 2026 eine großangelegte Operation offengelegt, die sich als Open-Source- und Freeware-Projekte ausgab und Nutzer über ein Traffic Distribution System (TDS) schleuste, um Schadsoftware-Familien wie Remus Stealer, AnimateClipper und das SessionGate-Framework auszuliefern.