偽Minecraftクライアントで拡散するWeedhack — 6,300件超の誘導をMcAfeeが遮断、SEO汚染とAI生成サイトを悪用

McAfee Labsは2026年6月に初めて報告し、2026年8月に追補した分析で、偽のMinecraftクライアントを装って拡散するマルウェア「Weedhack」の配布が現在も続いていると明らかにした。攻撃者はSEO汚染（検索結果を汚染して偽サイトを上位表示させる手口）と精巧な偽サイトを組み合わせ、Minecraftのmod（拡張機能）やチートツールを探す利用者を誘導する。McAfeeは6,300件超の悪性サイトへのアクセスを検知・遮断したとしている。

SEO汚染で正規を押しのける偽サイト群

McAfee Labsの研究者Aayush Tyagi氏の分析によると、攻撃者は正規のMinecraftクライアントやmodのブランド、機能説明、FAQ、インストール手順、開発者クレジット、GitHubへのリンクまで再現した偽サイトを複数立ち上げている。少なくとも9つの偽ドメインが確認された。

• glazed-client[.]com — 正規のglazedclient[.]com（無料のMinecraft add-on）を模倣
• radium-client[.]com — 正規のradiumclient[.]com（有料クライアント）を模倣
• seedcrackerx.github[.]io — 正規のseedcrackerx[.]com（シード解析ツール）を模倣
• cheatlib[.]xyz — 「160万超のダウンロード」をうたう偽のmodライブラリ
• meteorclients[.]com — 正規のmeteorclient[.]comを模倣
• 22qq-client[.]com — Crystal PvP用modを模倣
• kryptonclientcrack.lovable[.]app — DonutSMP用有料ツールkryptonclient[.]orgを模倣
• nova-client[.]com / xenoclient[.]lol / xenonclient[.]com — XenonやNovaなどのオープンソースクライアントを模倣

McAfeeによると、Xenon ClientとNova Clientの偽サイトはGoogle、Microsoft Bing、Brave Search、DuckDuckGoのいずれでも検索上位に表示され、正規のGitHubやModrinthより上位に出るケースが確認された。「正規のクライアントはGitHubとModrinthで配布されているが、攻撃者は偽サイトを作りSEO汚染で正規を上回らせた」とMcAfeeは説明している。

特筆すべきは、kryptonclientcrack.lovable[.]appがAIウェブサイトビルダー「Lovable」で構築されていた点だ。McAfeeは、AIによるサイト生成ツールが説得力のある偽サイトの大量生成を容易にし、攻撃の障壁を下げていると指摘している。

DiscordやGitHubを経由した多段階の感染

配布は偽サイトだけにとどまらない。McAfeeが特定した悪性URLの内訳は、**Discordリンクが49.6%、MediaFireが23.4%、GitHubが8.2%**と、利用者が日常的に使う正規プラットフォームが悪用されている。DiscordやRedditなどでリンクが拡散されるほか、Planet MinecartやEndModsといった正規のMinecraftツール配布サイトにJARファイルが投稿されるケースも確認された。

攻撃の流れは多段階だ。利用者が偽サイトからインストーラをダウンロードすると、JAR形式のペイロードが実行され、システム情報の収集、Microsoft Defenderの除外登録、機密データの窃取などを行う。McAfeeが6月に公開した初期分析では、YouTube動画の説明欄から偽ドメインへ誘導する手口も報告されている。

McAfeeは、対策としてデバイスを最新の状態に保つ、信頼できる配布元以外からmodやチートを導入しない、ファイルを開く前にスキャンする、セキュリティ保護を無効化するよう求めるインストーラに注意することを推奨している。特に「Defenderを無効にしてからインストールしてください」といった指示は、マルウェアの典型的な手口だ。

類似のSEO汚染キャンペーンも拡大

McAfeeは、Weedhackの手口が単発ではないとみている。2026年6月にはCheck Pointが、オープンソースやフリーウェアを装う大規模なSEO汚染キャンペーンを報告し、トラフィック分配システム（TDS）を経由してRemus StealerやAnimateClipper、SessionGateなどが配布されていた。Weedhackも同じ潮流に位置づけられる。

Minecraftは月間アクティブユーザーが1億人を超える世界的なゲームで、mod文化が活発だ。無料や有料のクライアント、チートツールを探す行為自体が攻撃の入口になっており、検索エンジンで上位に出たサイトを無条件に信頼することの危険性が改めて浮き彫りになった。

---

出典

• McAfee Labs「Weedhack malware spreads via fake Minecraft clients and SEO poisoning」（2026年6月初報、2026年8月追補、研究者: Aayush Tyagi） https://www.mcafee.com/blogs/other-blogs/mcafee-labs/weedhack-malware-fake-minecraft-clients-seo-poisoning/
• McAfee Labs「Weedhack analysis — Discord/MediaFire/GitHub distribution and JAR payloads」（2026年8月） https://www.mcafee.com/blogs/other-blogs/mcafee-labs/