Malware i pokerværktøjer afslørede hole cards

Ifølge Jurojin og WIRED smuglede en angriber fjernadgangssoftware ind i opdateringer til to populære tredjeparts pokerværktøjer for at se hole cards hos en udvalgt gruppe, for det meste high stakes-spillere. Værktøjerne er Jurojin og IntuitiveTables, begge tredjepartsprogrammer til multitabling. Pokerrummene har reageret meget forskelligt, fra udelukkelser og refusioner til et klart nej til refusion, og ACR Poker slår bordbeskyttelsen ScreenShield til som standard fra 4. november.

Sådan foregik angrebet

I en sikkerhedsmeddelelse, senest opdateret 2. oktober, siger Jurojin, at en angriber mellem juni 2025 og januar 2026 »med mellemrum kunne erstatte opdateringspakken, der blev leveret til én bestemt gruppe Jurojin-brugere, med en manipuleret version«, og at »nogle af pakkerne indeholdt et fjernadgangsværktøj«. Jurojin kalder det »en meget målrettet operation, ikke et masseangreb«, rettet mod bestemte modstandere »med det formål at se deres hole cards på afstand«. Det tidsrum gælder kun Jurojins egen opdateringskanal; Jurojin siger, at der ikke blev uploadet andet til serverne efter 28. januar 2026.

WIRED kalder fjernadgangsprogrammet MeshAgent i en undersøgelse offentliggjort 29. oktober. Ifølge sikkerhedsforskeren WolfSec, der først slog alarm på X 29. september, havde udvikleren af IntuitiveTables Jurojin på en test-pc, og den maskine blev smittet via den manipulerede opdatering. WolfSec siger, at angriberen derefter lagde skadelig kode ind i IntuitiveTables, før udvikleren signerede en ny version, og at versionen blev lagt ud som offentlig download. WIRED henviser til WolfSec for denne forklaring og citerer ikke IntuitiveTables-udvikleren herom.

Ifølge WolfSec handlede den manipulerede IntuitiveTables-version kun på brugernavne fra en liste på angriberens servere. WolfSec sagde til WIRED: »Stod du på en hårdkodet liste … så fungerede den som et skadeligt program … Stod du ikke på listen, blev det det almindelige program.« WIRED siger, at listen hovedsagelig bestod af faste high stakes-spillere på flere sider.

Hvor stort det var

Her er fremstillingerne forskellige, og tallene nedenfor er skøn, ikke bekræftede summer.

• WolfSec skønner via WIRED, at den manipulerede software nåede mere end 1.000 brugere. WIRED siger, at hundredvis af spillere angiveligt var mål over flere år.

• Kilder, WIRED har talt med, skønner, at angriberen angiveligt tog mellem 1,5 og 4 millioner dollar fra spillere på GGPoker og ACR.

• Jurojins billede er snævrere: »kun en håndfuld high stakes-spillere kom til skade ved faktisk at spille mod angriberen, mens deres hole cards var eksponeret.« Jurojin tilføjer, at »eksponering betyder ikke, at en enhed var inficeret.«

WIRED skriver, at spilleren, der beskrives, ikke er sigtet for noget strafbart forhold (pr. 29. oktober), og vi navngiver ikke den person, der er anklaget i rapporter fra pokermiljøet.

Hvad pokerrummene siger

ACR Poker / Winning Poker Network (WPN). I en meddelelse 16. oktober siger WPN, at dets Game Integrity-team gennemgik mere end 2.000.000 hænder fra spillere, hvis enheder havde MeshAgent opdaget, »og ikke fandt tegn på, at nogen spiller i den gennemgang brugte viden om hole cards på WPN«. En gennemgået konto blev lukket af separate grunde knyttet til integritet og risikostyring, og WPN siger, at beslutningen er adskilt fra fundet om hole cards. Ifølge WIRED skrev ACR til spillerne 18. oktober, at der ikke ville blive udbetalt refusion.

Fra 4. november slås ScreenShield, som blokerer bordindhold for værktøjer til skærmoptagelse og skærmdeling, til som standard for spillere på ACR Poker; WPN beskriver det som en standard for hele netværket. Spillere, der har brug for skærmoptagelse til streaming, coaching eller optagelser, kan selv slå det fra i klientens indstillinger. WPN havde allerede fra 29. september slået det til for spillere, hvis enheder opfyldte dets detektionskriterier, og siger, at ScreenShield ikke er »et fuldstændigt svar på alle cybertrusler«. WPN vurderer også en regel, der kan forbyde tredjepartssoftware ved siden af klienten; der er ikke truffet nogen beslutning.

Særskilt sagde ACR 17. oktober, at en softwarefejl i klienten havde skabt »en potentiel sikkerhedssårbarhed«, som er rettet, og at man ikke fandt tegn på kompromitterede konti. ACR har ikke sagt, hvad fejlen var, eller koblet den til værktøjsopdateringerne.

GGPoker. I et blogindlæg 15. oktober forbød GGPoker al pokersoftware og alle automatiseringsværktøjer fra tredjeparter, herunder Jurojin og Intuitive Tables, og føjede registrering af unormalt høje gevinstrater til sine integritetstjek. GGPoker indførte også valgfrie sikkerhedsfunktioner i klienten, blandt dem Screen Guard, som holder borde ude af skærmbilleder, skærmdelinger og apps til fjernvisning. GGPoker siger, at man sporede pengene til en kryptoplånbog og delte sine fund »med Coinbase, hvor vi tror, at pengene blev indsat«, med en anmodning om at begrænse kontoen.

CoinPoker og ClubWPT Gold. Ifølge WIRED udelukkede CoinPoker kontoen og refunderede mere end 100.000 dollar til berørte spillere, og ClubWPT Gold udelukkede kontoen og refunderede en spiller hans tab.

Vores vurdering

I rapporterne ovenfor spredte malwaren sig via tredjepartsværktøjer, som spillere kører ved siden af pokerklienten. ACR's separate klientfejl er ikke koblet til dem. Hvis du bruger Jurojin, anbefaler meddelelsen en ren Windows-geninstallation, hvis du fik deres e-mail eller så advarselstegn, og tilbyder et kontrolværktøj, Jurojin Mesh Check, på jurojinpoker.com; ifølge meddelelsen er »et rent resultat ingen garanti«. Download kun værktøjer fra udviklerens eget websted, og vær på vagt over for beskeder, der tilbyder et »tjek« eller en refusion: Jurojin siger, at den samme aktør drev phishingsider, der udgav sig for at være pokerrum og kendte værktøjer. Refusion er op til hvert rum, og pr. 31. oktober varierer den meget.

Mere om pokerrum og tvister: Bryn Kenneys sagsanlæg mod GGPokers ejer, 888's regulerede pokerlancering i Alberta og Norges høring om Norsk Tippings onlinepoker. Om et indbrud hos et kryptospilsted, se Gamdoms hot wallet-hændelse.

Tilgængelighed: ACR Poker, GGPoker, CoinPoker og ClubWPT Gold har ikke licens i alle lande; om du kan spille, afhænger af, hvor du bor.