Pokerityökalujen haittaohjelma paljasti hole-kortteja

Jurojinin ja WIRED:in mukaan hyökkääjä livautti etähallintaohjelmiston kahden suositun kolmannen osapuolen pokerityökalun päivityksiin nähdäkseen kohdennetun, enimmäkseen korkeiden panosten pelaajien joukon hole-kortit. Työkalut ovat Jurojin ja IntuitiveTables, kumpikin kolmannen osapuolen monipöytäpelaamisen ohjelma. Mukana olleet pokerisalit ovat reagoineet hyvin eri tavoin, porteista ja hyvityksistä jyrkkään kieltäytymiseen palautuksista, ja ACR Poker ottaa ScreenShield-pöytäsuojauksensa oletuksena käyttöön 4. marraskuuta alkaen.

Miten hyökkäys toimi

Jurojinin tietoturvatiedotteessa, joka on päivitetty viimeksi 2. lokakuuta, kerrotaan, että kesäkuun 2025 ja tammikuun 2026 välillä hyökkääjä ”pystyi ajoittain vaihtamaan yhdelle tietylle Jurojin-käyttäjäryhmälle toimitetun päivityspaketin peukaloituun versioon” ja että ”osa paketeista sisälsi etähallintatyökalun”. Jurojin kuvaa tapausta ”hyvin kohdennetuksi operaatioksi, ei massahyökkäykseksi”, joka kohdistui tiettyihin vastustajiin ”tavoitteena nähdä heidän hole-korttinsa etänä”. Tämä ajanjakso koskee vain Jurojinin omaa päivityskanavaa; Jurojinin mukaan sen palvelimille ei ladattu mitään muuta 28. tammikuuta 2026 jälkeen.

WIRED nimeää etäohjelman MeshAgentiksi 29. lokakuuta julkaisemassaan selvityksessä. Tietoturvatutkija WolfSecin, joka nosti asian ensimmäisenä esiin X:ssä 29. syyskuuta, mukaan IntuitiveTablesin kehittäjällä oli Jurojin testikoneella, ja kone tartutettiin peukaloidun päivityksen kautta. WolfSecin mukaan hyökkääjä lisäsi sitten haitallista koodia IntuitiveTablesiin ennen kuin kehittäjä allekirjoitti uuden version, ja versio meni julkiseksi latauslinkiksi. WIRED lähteistää tämän reitin WolfSecille eikä siteeraa IntuitiveTablesin kehittäjää asiasta.

WolfSecin mukaan peukaloitu IntuitiveTables-versio toimi vain käyttäjänimillä, jotka olivat hyökkääjän palvelimilla olevalla listalla. WolfSec kertoi WIRED:ille: ”Jos olit kovakoodatulla listalla … se toimi haittaohjelmana … Jos et ollut listalla, siitä tuli tavallinen ohjelma.” WIRED:in mukaan lista koostui pääosin useilla sivustoilla pelaavista korkeiden panosten vakiopelaajista.

Kuinka laaja tapaus oli

Tässä kertomukset eroavat, ja alla olevat luvut ovat arvioita, eivät vahvistettuja kokonaismääriä.

• WolfSecin arvion mukaan WIRED:in kautta peukaloitu ohjelmisto tavoitti yli 1 000 käyttäjää. WIRED:in mukaan satoja pelaajia oli väitetysti kohteena usean vuoden ajan.

• WIRED:in haastattelemien lähteiden arvion mukaan hyökkääjä vei väitetysti 1,5–4 miljoonaa dollaria GGPokerin ja ACR:n pelaajilta.

• Jurojin näkee asian suppeammin: ”vain kourallinen korkeiden panosten pelaajia kärsi vahinkoa pelaamalla hyökkääjää vastaan, kun heidän hole-korttinsa olivat näkyvissä.” Jurojin lisää: ”altistuminen ei tarkoita, että laite oli saastunut.”

WIRED kertoo, ettei sen kuvaamaa pelaajaa ole (tilanne 29. lokakuuta) syytetty rikoksesta, emmekä nimeä yhteisön raporteissa epäiltyä henkilöä.

Mitä pokerisalit sanovat

ACR Poker / Winning Poker Network (WPN). 16. lokakuuta julkaisemassaan tiedotteessa WPN kertoo, että sen Game Integrity -tiimi kävi läpi yli 2 000 000 kättä pelaajilta, joiden laitteilta MeshAgent löytyi, ”eikä löytänyt todisteita siitä, että kukaan tarkastelussa mukana ollut pelaaja olisi hyödyntänyt tietoa hole-korteista WPN:ssä”. Yksi tarkasteltu tili suljettiin erillisin eheys- ja riskienhallintaperustein, ja WPN sanoo päätöksen olevan erillinen hole-korttihavainnosta. WIRED:in mukaan ACR kertoi pelaajille sähköpostitse 18. lokakuuta, ettei se maksa hyvityksiä.

1. marraskuuta alkaen ScreenShield, joka estää pöytäsisällön näkymisen kuvanotto- ja näytönjakotyökaluille, otetaan oletuksena käyttöön ACR Pokerin pelaajille; WPN kuvaa sen verkostonlaajuiseksi vakioksi. Pelaajat, jotka tarvitsevat kuvanottoa suoratoistoon, valmennukseen tai tallennukseen, voivat kytkeä sen pois itse asiakasohjelman asetuksista. WPN oli jo 29. syyskuuta alkaen ottanut sen käyttöön pelaajille, joiden laitteet täyttivät sen tunnistuskriteerit, ja sanoo, ettei ScreenShield ole ”täydellinen vastaus jokaiseen kyberuhkaan”. WPN arvioi myös linjausta, joka voisi kieltää kolmannen osapuolen ohjelmat asiakasohjelman rinnalla; päätöstä ei ole tehty.

Erikseen ACR kertoi 17. lokakuuta, että asiakasohjelman ohjelmistovirhe oli luonut ”mahdollisen tietoturva-aukon”, jonka se korjasi, eikä se ollut löytänyt todisteita tilien vaarantumisesta. ACR ei ole kertonut, mikä virhe oli, eikä liittänyt sitä työkalupäivityksiin.

GGPoker. 15. lokakuuta blogikirjoituksessaan GGPoker kielsi kaikki kolmannen osapuolen pokeriohjelmistot ja automaatiotyökalut, myös Jurojinin ja Intuitive Tablesin, ja lisäsi eheystarkastuksiinsa epätavallisen korkeiden voittoprosenttien tunnistuksen. Se esitteli myös valinnaisia asiakasohjelman suojaominaisuuksia, kuten Screen Guardin, joka pitää pöydät poissa kuvakaappauksista, näytönjaoista ja etänäkymäsovelluksista. GGPokerin mukaan se jäljitti varat kryptolompakkoon ja jakoi havaintonsa ”Coinbasen kanssa, jonne uskomme varojen talletetun”, pyytäen rajoittamaan tilin.

CoinPoker ja ClubWPT Gold. WIRED:in mukaan CoinPoker sulki tilin ja palautti yli 100 000 dollaria vahingoittuneille pelaajille, ja ClubWPT Gold sulki tilin ja hyvitti pelaajalle tämän tappiot.

Meidän tulkintamme

Yllä olevissa raporteissa haittaohjelma kulki kolmannen osapuolen työkaluissa, joita pelaajat käyttävät pokeriohjelman rinnalla. ACR:n erillistä asiakasohjelmavirhettä ei ole yhdistetty niihin. Jos käytät Jurojinia, sen tiedote suosittelee Windowsin puhdasta uudelleenasennusta, jos olet saanut sen sähköpostin tai huomannut varoitusmerkkejä, ja tarjoaa tarkistustyökalun, Jurojin Mesh Checkin, osoitteessa jurojinpoker.com; sen mukaan ”puhdas tulos ei ole takuu”. Lataa työkalut vain kehittäjän omalta sivustolta ja suhtaudu epäillen viesteihin, jotka tarjoavat ”tarkistusta” tai hyvitystä: Jurojinin mukaan sama toimija ylläpiti tietokalastelusivustoja, jotka esiintyivät pokerisaleina ja tunnetuina työkaluina. Hyvitykset ovat kunkin salin päätettävissä, ja tilanteessa 31. lokakuuta ne vaihtelevat paljon.

Lisää pokerisaleista ja riidoista: Bryn Kenneyn kanne GGPokerin omistajaa vastaan, 888:n säännelty pokerilaajennus Albertaan ja Norjan Norsk Tippingin nettipokerin kuuleminen. Kryptosivuston murrosta lisää: Gamdomin kuumalompakkotapaus.

Saatavuus: ACR Poker, GGPoker, CoinPoker ja ClubWPT Gold eivät ole lisensoituja kaikissa maissa; se, voiko niissä pelata, riippuu asuinmaasta.