Malware negli strumenti di poker: carte scoperte

Secondo Jurojin e WIRED, un attaccante ha infilato software di accesso remoto negli aggiornamenti di due diffusi strumenti di poker di terze parti, con l’obiettivo di vedere le carte coperte di un elenco mirato di giocatori, per lo più ad alti limiti. Gli strumenti sono Jurojin e IntuitiveTables, due programmi di terze parti per il multitabling. Le poker room coinvolte hanno reagito in modi molto diversi, da ban e rimborsi a un no netto ai rimborsi, e ACR Poker attiverà di default la protezione dei tavoli ScreenShield dal 4 novembre.

Come ha funzionato l’attacco

In un avviso di sicurezza aggiornato l’ultima volta il 2 ottobre, Jurojin afferma che tra giugno 2025 e gennaio 2026 un attaccante «è riuscito a sostituire a intermittenza il pacchetto di aggiornamento consegnato a uno specifico gruppo di utenti Jurojin con una versione manomessa» e che «alcuni di quei pacchetti includevano uno strumento di accesso remoto». Jurojin lo definisce «un’operazione altamente mirata, non un attacco di massa», rivolta ad avversari specifici «con l’obiettivo di vedere a distanza le loro carte coperte». Quel periodo riguarda solo il canale di aggiornamento di Jurojin; secondo Jurojin, dopo il 28 gennaio 2026 non è stato caricato più nulla sui suoi server.

WIRED, in un’inchiesta pubblicata il 29 ottobre, chiama il programma di accesso remoto MeshAgent. Secondo il ricercatore di sicurezza WolfSec, che ha lanciato per primo l’allarme su X il 29 settembre, lo sviluppatore di IntuitiveTables aveva Jurojin su un PC di prova, e quella macchina è stata infettata dall’aggiornamento manomesso. WolfSec sostiene che l’attaccante abbia poi aggiunto codice dannoso a IntuitiveTables prima che lo sviluppatore firmasse una nuova versione, e che quella versione sia stata messa online come download pubblico. WIRED attribuisce questo percorso a WolfSec e non cita lo sviluppatore di IntuitiveTables in merito.

Secondo WolfSec, la versione manomessa di IntuitiveTables agiva solo sui nomi utente presenti in un elenco sui server dell’attaccante. WolfSec ha detto a WIRED: «Se eri in un elenco codificato nel programma … si comportava come un programma dannoso … Se non eri in quell’elenco, diventava il programma normale.» Secondo WIRED, l’elenco era composto soprattutto da giocatori abituali ad alti limiti su più siti.

Quanto è stato grande

Qui le versioni divergono, e i numeri che seguono sono stime, non totali confermati.

• WolfSec stima, tramite WIRED, che il software manomesso abbia raggiunto più di 1.000 utenti. WIRED riferisce che centinaia di giocatori sarebbero stati presi di mira nel corso di più anni.

• Fonti con cui ha parlato WIRED stimano che l’attaccante avrebbe sottratto tra 1,5 e 4 milioni di dollari a giocatori di GGPoker e ACR.

• Jurojin ha una lettura più ristretta: «solo una manciata di giocatori ad alti limiti è stata danneggiata giocando davvero contro l’attaccante mentre le loro carte coperte erano esposte.» Jurojin aggiunge che «l’esposizione non significa che un dispositivo fosse infetto.»

WIRED scrive che il giocatore descritto non è stato incriminato per alcun reato (al 29 ottobre), e noi non nominiamo la persona accusata nelle segnalazioni della community.

Cosa dicono le poker room

ACR Poker / Winning Poker Network (WPN). In un comunicato del 16 ottobre, WPN afferma che il suo team Game Integrity ha esaminato più di 2.000.000 di mani di giocatori sui cui dispositivi era stato rilevato MeshAgent, «senza trovare prove che qualche giocatore di quella revisione usasse la conoscenza delle carte coperte su WPN». Un account esaminato è stato chiuso per ragioni distinte di integrità e gestione del rischio, e WPN precisa che la decisione è separata dall’esito sulle carte coperte. Secondo WIRED, ACR ha scritto ai giocatori il 18 ottobre che non avrebbe concesso rimborsi.

Dal 4 novembre, ScreenShield, che impedisce agli strumenti di cattura e condivisione dello schermo di vedere il contenuto dei tavoli, sarà attivo di default per i giocatori di ACR Poker; WPN lo descrive come uno standard dell’intera rete. I giocatori che hanno bisogno della cattura dello schermo per streaming, coaching o registrazioni possono disattivarlo da soli nelle impostazioni del client. WPN lo aveva già attivato dal 29 settembre per i giocatori i cui dispositivi rispondevano ai suoi criteri di rilevamento, e dice che ScreenShield non è «una risposta completa a ogni minaccia informatica». WPN sta inoltre valutando una regola che potrebbe vietare i software di terze parti accanto al suo client; non è stata presa alcuna decisione.

Separatamente, ACR ha dichiarato il 17 ottobre che un bug del software nel suo client aveva creato «una potenziale vulnerabilità di sicurezza», poi corretta, e di non aver trovato prove di account compromessi. ACR non ha detto quale fosse il bug né lo ha collegato agli aggiornamenti degli strumenti.

GGPoker. In un post sul blog del 15 ottobre, GGPoker ha vietato tutti i software di poker e gli strumenti di automazione di terze parti, inclusi Jurojin e Intuitive Tables, e ha aggiunto ai controlli di integrità il rilevamento dei tassi di vincita anomali. Ha introdotto anche funzioni di sicurezza facoltative nel client, tra cui Screen Guard, che tiene i tavoli fuori da screenshot, condivisioni dello schermo e app di visualizzazione remota. GGPoker dice di aver rintracciato i fondi fino a un wallet crypto e di aver condiviso i risultati «con Coinbase, dove crediamo siano stati depositati i fondi», chiedendo di limitare l’account.

CoinPoker e ClubWPT Gold. Secondo WIRED, CoinPoker ha bannato l’account e rimborsato più di 100.000 dollari ai giocatori colpiti, e ClubWPT Gold ha bannato l’account e rimborsato a un giocatore le sue perdite.

La nostra lettura

Nei resoconti sopra, il malware è viaggiato in strumenti di terze parti che i giocatori eseguono accanto al client di poker. Il bug separato del client di ACR non è stato collegato a questi strumenti. Se usi Jurojin, il suo avviso raccomanda una reinstallazione pulita di Windows se hai ricevuto la sua email o notato segnali d’allarme, e offre uno strumento di verifica, Jurojin Mesh Check, su jurojinpoker.com; secondo l’avviso, «un risultato pulito non è una garanzia». Scarica gli strumenti solo dal sito dello sviluppatore e diffida dei messaggi che offrono un «controllo» o un rimborso: Jurojin dice che lo stesso soggetto gestiva siti di phishing che imitavano poker room e strumenti noti. I rimborsi dipendono da ciascuna room e, al 31 ottobre, variano molto.

Per saperne di più su poker room e controversie: la causa di Bryn Kenney contro il proprietario di GGPoker, il lancio del poker regolamentato di 888 in Alberta e la consultazione norvegese sul poker online di Norsk Tipping. Per un’intrusione in un sito crypto, vedi l’incidente hot wallet di Gamdom.

Disponibilità: ACR Poker, GGPoker, CoinPoker e ClubWPT Gold non hanno licenza in ogni Paese; poter giocare dipende da dove si vive.