Профессионал в сфере кибербезопасности и покерный энтузиаст под ником WolfSec0x0 поделился новыми подробностями мошенничества с участием Пола Грегга.
По текущим подсчётам пострадали 30 пользователей из стран Европы, Северной Америки и Океании.
Троян связан с MeshCentral — бесплатной системой с открытым исходным кодом для удаленного мониторинга и управления компьютерами через веб-интерфейс.
MeshCentral устанавливается без ведома игроков, работает как служба Windows с полным доступом к системе и подключается к серверу, которым управляет злоумышленник.
С помощью MeshCentral можно:
• наблюдать за экраном в реальном времени, в том числе видеть закрытые карты
• управлять мышью и клавиатурой
• запускать любые команды
• копировать файлы с ПК на ПК
Вирус устанавливался через сторонний софт. Были взломаны две легитимные программы:
• Программа А: взлом подтверждён поставщиком программы
• Программа B: взлом подтверждён статистически, ожидается подтверждение поставщика
❗️ Название софта не разглашается. Но это был сторонний софт, а не непосредственно софт покер-румов.
Впервые злоумышленники получили удалённый доступ к другим компьютерам в марте 2024 года. С апреля по октябрь 2024 года больше пользователей устанавливали заражённую программу А. С начала 2026 года — пользователи начали ставить заражённую программу B.
На заражённом компьютере агент устанавливает службу Windows Mesh Agent — свои файлы прячет в скрытые — запускает каждые 20 минут команду в PowerShell (командной строке), оставляя ключи реестра даже после удаления.
Злоумышленник через агента мог видеть всё на экране и получать полный доступ к компьютеру: сохраненным в браузере паролям, сессионным cookie-файлам, сохраненным картам.
На некоторых компьютерах агент работал месяцами, на некоторых — даже годами.
На всех подтверждённых на данный момент компьютерах агент удалён или отключён.
Как проверить, есть ли MeshAgent на вашем компьютере?
Откройте PowerShell и запустите:
Get-Service 'Mesh Agent'
Get-ChildItem 'HKLM:\SOFTWARE\Open Source'
Вторая команда определяет ключи реестра, которые агент оставляет после удаления. Если в какой-либо из них отображается "Mesh Agent", значит, он присутствует или присутствовал.
Также откройте от администратора PowerShell и запустите:
(Get-MpPreference).ExclusionPath
На некоторых затронутых компьютерах по-прежнему действует исключение для всей папки C:\Windows. Если вы видите папку C:\Windows, но не добавляли её, компьютер заражён вирусом.
MeshCentral легально используется некоторыми работодателями и IT-провайдерами. Если вы никогда не имели с ним дел, скорее всего, ваш компьютер заражён.
Что делать, если обнаружил следы MeshCentral на своём компьютере?
1. Отключите устройство от интернета. Ничего не удаляйте. Доказательства нужны для полиции и покерных сайтов.
2. На другом чистом устройстве смените пароль от электронной почты, покерных и криптовалютных аккаунтов
3. Выйдите из всех сессий на всех устройствах и включите 2FA
4. Попросите ваш банк заменить все карты, сохраненные в вашем браузере
5. Выведите средства из любого криптовалютного кошелька, установленного на вашем ПК
6. Напишите в службу безопасности каждого покерного сайта, на котором вы играете, а также в местную полицию или службу по борьбе с мошенничеством
7. После сбора доказательств удалите и переустановите Windows. Простого удаления агента недостаточно
Присоединяйтесь к обсуждению статьи в чате Покерофф.
💥Подписывайтесь на Покерофф💥