Malware in Poker-Tools legte Hole Cards offen

Laut Jurojin und WIRED hat ein Angreifer Fernzugriffssoftware in Updates zweier verbreiteter Poker-Tools von Drittanbietern geschmuggelt, um die Hole Cards einer gezielt ausgewählten Gruppe meist hochklassiger Spieler zu sehen. Die Tools heißen Jurojin und IntuitiveTables, beides Multi-Tabling-Programme von Drittanbietern. Die betroffenen Pokerräume reagierten sehr unterschiedlich, von Sperren und Erstattungen bis zu einem klaren Nein bei Rückzahlungen, und ACR Poker schaltet seinen Tischschutz ScreenShield ab dem 4. November standardmäßig ein.

Wie der Angriff ablief

In einer Sicherheitsmitteilung, zuletzt aktualisiert am 2. Oktober, schreibt Jurojin, ein Angreifer habe zwischen Juni 2025 und Januar 2026 „zeitweise das Update-Paket für eine bestimmte Gruppe von Jurojin-Nutzern durch eine manipulierte Version ersetzen können“ und „einige dieser Pakete enthielten ein Fernzugriffs-Tool“. Jurojin spricht von „einer gezielten Operation, nicht von einem Massenangriff“, die sich gegen bestimmte Gegner richtete, „mit dem Ziel, deren Hole Cards aus der Ferne zu sehen“. Dieser Zeitraum betrifft nur den eigenen Update-Kanal von Jurojin; nach dem 28. Januar 2026 sei laut Jurojin nichts mehr auf die Server hochgeladen worden.

WIRED nennt das Fernzugriffsprogramm in einer am 29. Oktober veröffentlichten Recherche MeshAgent. Laut dem Sicherheitsforscher WolfSec, der am 29. September auf X als Erster Alarm schlug, hatte der Entwickler von IntuitiveTables Jurojin auf einem Test-PC installiert, und dieser Rechner sei über das manipulierte Update infiziert worden. Danach habe der Angreifer schädlichen Code in IntuitiveTables eingefügt, bevor der Entwickler einen neuen Build signierte, und dieser Build sei als öffentlicher Download erschienen. WIRED führt diesen Weg auf WolfSec zurück und zitiert den IntuitiveTables-Entwickler dazu nicht.

Laut WolfSec wurde der manipulierte IntuitiveTables-Build nur bei Benutzernamen aktiv, die auf einer Liste auf den Servern des Angreifers standen. WolfSec sagte WIRED: „Wer auf einer fest einprogrammierten Liste stand …, bei dem verhielt es sich wie ein Schadprogramm … Wer nicht auf der Liste stand, bekam das normale Programm.“ Laut WIRED bestand die Liste vor allem aus Stammspielern auf hohen Limits an mehreren Seiten.

Wie groß es war

Hier gehen die Darstellungen auseinander, und die folgenden Zahlen sind Schätzungen, keine bestätigten Summen.

• WolfSec schätzt laut WIRED, dass die manipulierte Software mehr als 1.000 Nutzer erreichte. WIRED sagt, über mehrere Jahre seien Hunderte Spieler mutmaßlich ins Visier genommen worden.

• Quellen, mit denen WIRED sprach, schätzen, dass der Angreifer mutmaßlich zwischen 1,5 und 4 Millionen Dollar von Spielern bei GGPoker und ACR erbeutet hat.

• Jurojin sieht es enger: „Nur eine Handvoll High-Stakes-Spieler wurde geschädigt, weil sie tatsächlich gegen den Angreifer spielten, während ihre Hole Cards einsehbar waren.“ Außerdem schreibt Jurojin: „Einsehbar heißt nicht, dass ein Gerät infiziert war.“

WIRED schreibt, der darin beschriebene Spieler sei (Stand 29. Oktober) nicht wegen einer Straftat angeklagt, und wir nennen die in Community-Berichten beschuldigte Person nicht.

Was die Pokerräume sagen

ACR Poker / Winning Poker Network (WPN). In einer Mitteilung vom 16. Oktober schreibt WPN, sein Game-Integrity-Team habe mehr als 2.000.000 Hände von Spielern geprüft, auf deren Geräten MeshAgent entdeckt wurde, „und keinen Hinweis gefunden, dass ein Spieler in dieser Prüfung bei WPN Wissen über Hole Cards nutzte“. Ein geprüftes Konto wurde aus anderen Gründen der Integrität und des Risikomanagements geschlossen; WPN betont, diese Entscheidung sei vom Befund zu den Hole Cards getrennt. Laut WIRED schrieb ACR den Spielern am 18. Oktober, Rückzahlungen werde es nicht geben.

Ab dem 4. November ist ScreenShield, das Tischinhalte vor Screen-Capture- und Screen-Sharing-Tools abschirmt, für Spieler von ACR Poker standardmäßig eingeschaltet; WPN nennt es einen netzwerkweiten Standard. Wer Bildschirmaufnahmen für Streaming, Coaching oder Aufzeichnungen braucht, kann es in den Einstellungen des Clients selbst ausschalten. WPN hatte es seit dem 29. September bereits für Spieler aktiviert, deren Geräte seine Erkennungskriterien erfüllten, und sagt, ScreenShield sei nicht „die vollständige Antwort auf jede Cybersicherheitsbedrohung“. Außerdem prüft WPN eine Regel, die Software von Drittanbietern neben seinem Client verbieten könnte; entschieden ist nichts.

Unabhängig davon teilte ACR am 17. Oktober mit, ein Softwarefehler im Client habe „eine mögliche Sicherheitslücke“ geschaffen, die behoben worden sei, und es gebe keine Hinweise auf kompromittierte Konten. ACR hat weder gesagt, was der Fehler war, noch ihn mit den Tool-Updates in Verbindung gebracht.

GGPoker. In einem Blogbeitrag vom 15. Oktober hat GGPoker jegliche Poker- und Automatisierungssoftware von Drittanbietern verboten, darunter Jurojin und Intuitive Tables, und seinen Integritätsprüfungen eine Erkennung auffälliger Gewinnraten hinzugefügt. Außerdem führte GGPoker optionale Client-Sicherheitsfunktionen ein, darunter Screen Guard, das Tische aus Screenshots, Bildschirmfreigaben und Fernansicht-Apps heraushält. Laut GGPoker wurden die Gelder zu einer Krypto-Wallet zurückverfolgt und die Erkenntnisse „mit Coinbase geteilt, wo wir glauben, dass die Gelder eingezahlt wurden“, verbunden mit der Bitte, das Konto zu sperren.

CoinPoker und ClubWPT Gold. Laut WIRED sperrte CoinPoker das Konto und erstattete betroffenen Spielern mehr als 100.000 Dollar, und ClubWPT Gold sperrte das Konto und erstattete einem Spieler seine Verluste.

Unsere Einschätzung

In den genannten Berichten wanderte die Malware über Tools von Drittanbietern, die Spieler neben dem Poker-Client laufen lassen. Der separate Client-Fehler von ACR wurde nicht mit ihnen in Verbindung gebracht. Wer Jurojin nutzt: Die Mitteilung empfiehlt eine saubere Neuinstallation von Windows, wenn man die E-Mail von Jurojin erhalten oder Warnzeichen bemerkt hat, und bietet mit Jurojin Mesh Check ein Prüfwerkzeug auf jurojinpoker.com an; „ein sauberes Ergebnis ist keine Garantie“. Tools nur von der Seite des Entwicklers laden und bei Nachrichten, die einen „Check“ oder eine Erstattung anbieten, misstrauisch sein: Laut Jurojin betrieb derselbe Akteur Phishing-Seiten, die Pokerräume und bekannte Tools nachahmten. Erstattungen liegen im Ermessen jedes Raums und fallen Stand 31. Oktober sehr unterschiedlich aus.

Mehr zu Pokerräumen und Streitfällen: Bryn Kenneys Klage gegen den Eigentümer von GGPoker, 888s regulierter Poker-Start in Alberta und Norwegens Konsultation zu Online-Poker von Norsk Tipping. Zu einem Einbruch bei einer Krypto-Seite siehe Gamdoms Hot-Wallet-Vorfall.

Verfügbarkeit: ACR Poker, GGPoker, CoinPoker und ClubWPT Gold sind nicht in jedem Land lizenziert; ob man dort spielen kann, hängt vom Wohnort ab.