Malware in pokertools onthulde holecards

Volgens Jurojin en WIRED heeft een aanvaller software voor toegang op afstand in updates van twee populaire pokertools van derden gesmokkeld, om de holecards te zien van een gerichte groep, meestal high-stakesspelers. De tools zijn Jurojin en IntuitiveTables, allebei programma's van derden voor multitablen. De betrokken pokerrooms reageren heel verschillend, van bans en terugbetalingen tot een stellig nee tegen terugbetaling, en ACR Poker zet zijn tafelbescherming ScreenShield vanaf 4 november standaard aan.

Hoe de aanval werkte

In een beveiligingsmelding, voor het laatst bijgewerkt op 2 oktober, zegt Jurojin dat een aanvaller tussen juni 2025 en januari 2026 “met tussenpozen het updatepakket voor één specifieke groep Jurojin-gebruikers kon vervangen door een gemanipuleerde versie” en dat “sommige van die pakketten een tool voor toegang op afstand bevatten”. Jurojin noemt het “een zeer gerichte operatie, geen massale aanval”, gericht op specifieke tegenstanders “met als doel hun holecards op afstand te bekijken”. Dat tijdvak betreft alleen het eigen updatekanaal van Jurojin; volgens Jurojin is er na 28 januari 2026 niets anders meer naar de servers geüpload.

WIRED noemt het programma voor toegang op afstand in een onderzoek van 29 oktober MeshAgent. Volgens beveiligingsonderzoeker WolfSec, die op 29 september als eerste alarm sloeg op X, had de ontwikkelaar van IntuitiveTables Jurojin op een test-pc staan, en die machine werd geïnfecteerd via de gemanipuleerde update. WolfSec zegt dat de aanvaller daarna kwaadaardige code aan IntuitiveTables toevoegde voordat de ontwikkelaar een nieuwe build ondertekende, en dat die build als openbare download verscheen. WIRED schrijft deze route toe aan WolfSec en citeert de IntuitiveTables-ontwikkelaar er niet over.

Volgens WolfSec trad de gemanipuleerde IntuitiveTables-build alleen op bij gebruikersnamen van een lijst op de servers van de aanvaller. WolfSec zei tegen WIRED: “Stond je op een hardgecodeerde lijst … dan gedroeg het zich als een kwaadaardig programma … Stond je niet op de lijst, dan werd het het gewone programma.” Volgens WIRED bestond de lijst vooral uit vaste high-stakesspelers op meerdere sites.

Hoe groot het was

Hier lopen de verhalen uiteen, en de onderstaande cijfers zijn schattingen, geen bevestigde totalen.

• WolfSec schat, via WIRED, dat de gemanipuleerde software meer dan 1.000 gebruikers bereikte. WIRED zegt dat honderden spelers over meerdere jaren vermoedelijk doelwit waren.

• Bronnen met wie WIRED sprak, schatten dat de aanvaller vermoedelijk tussen 1,5 en 4 miljoen dollar afnam van spelers op GGPoker en ACR.

• Jurojin ziet het smaller: “slechts een handjevol high-stakesspelers werd benadeeld doordat ze daadwerkelijk tegen de aanvaller speelden terwijl hun holecards zichtbaar waren.” Jurojin voegt toe dat “zichtbaarheid niet betekent dat een apparaat besmet was.”

WIRED schrijft dat de speler die het beschrijft (per 29 oktober) niet van een misdrijf is beschuldigd, en wij noemen de persoon die in berichten uit de pokergemeenschap wordt beschuldigd niet.

Wat de pokerrooms zeggen

ACR Poker / Winning Poker Network (WPN). In een bericht van 16 oktober zegt WPN dat zijn Game Integrity-team meer dan 2.000.000 handen controleerde van spelers op wier apparaten MeshAgent was aangetroffen, “en geen bewijs vond dat een speler in die controle bij WPN kennis van holecards gebruikte”. Een gecontroleerd account werd om aparte redenen van integriteit en risicobeheer gesloten, en WPN zegt dat dat besluit los staat van de bevinding over holecards. Volgens WIRED mailde ACR spelers op 18 oktober dat het geen terugbetalingen zou doen.

Vanaf 4 november staat ScreenShield, dat tafelinhoud afschermt voor tools voor schermopname en schermdeling, standaard aan voor spelers van ACR Poker; WPN noemt het een standaard voor het hele netwerk. Spelers die schermopname nodig hebben voor streamen, coaching of opnames, kunnen het zelf uitzetten in de instellingen van de client. WPN had het sinds 29 september al aangezet voor spelers wier apparaten aan zijn detectiecriteria voldeden, en zegt dat ScreenShield niet “een volledig antwoord op elke cyberdreiging” is. WPN onderzoekt ook een beleid dat software van derden naast zijn client zou kunnen verbieden; er is nog niets besloten.

Los daarvan zei ACR op 17 oktober dat een softwarefout in de client “een mogelijke beveiligingskwetsbaarheid” had veroorzaakt, die is verholpen, en dat het geen bewijs van gecompromitteerde accounts vond. ACR heeft niet gezegd wat de fout was en heeft haar niet gekoppeld aan de tool-updates.

GGPoker. In een blogbericht van 15 oktober verbood GGPoker alle pokersoftware en automatiseringstools van derden, waaronder Jurojin en Intuitive Tables, en voegde het detectie van afwijkend hoge winrates toe aan zijn integriteitscontroles. GGPoker voerde ook optionele beveiligingsfuncties in de client in, waaronder Screen Guard, dat tafels buiten schermafbeeldingen, schermdelingen en apps voor meekijken op afstand houdt. GGPoker zegt dat het de gelden naar een cryptowallet herleidde en zijn bevindingen deelde “met Coinbase, waar we geloven dat de gelden werden gestort”, met het verzoek het account te beperken.

CoinPoker en ClubWPT Gold. Volgens WIRED verbande CoinPoker het account en betaalde het meer dan 100.000 dollar terug aan getroffen spelers, en verbande ClubWPT Gold het account en vergoedde het een speler zijn verliezen.

Onze lezing

In de bovenstaande berichten reisde de malware mee in tools van derden die spelers naast de pokerclient draaien. De aparte clientfout van ACR is er niet aan gekoppeld. Gebruik je Jurojin, dan adviseert de melding een schone herinstallatie van Windows als je hun e-mail kreeg of waarschuwingssignalen zag, en biedt ze een controletool, Jurojin Mesh Check, op jurojinpoker.com; volgens de melding is “een schone uitslag geen garantie”. Download tools alleen van de eigen site van de ontwikkelaar en wees op je hoede voor berichten die een “check” of een terugbetaling aanbieden: Jurojin zegt dat dezelfde actor phishingsites beheerde die pokerrooms en bekende tools nabootsten. Terugbetalingen zijn aan elke room, en per 31 oktober verschillen ze sterk.

Meer over pokerrooms en geschillen: de rechtszaak van Bryn Kenney tegen de eigenaar van GGPoker, de gereguleerde pokerlancering van 888 in Alberta en de consultatie over online poker van Norsk Tipping in Noorwegen. Over een inbraak bij een cryptosite, zie het hot-walletincident bij Gamdom.

Beschikbaarheid: ACR Poker, GGPoker, CoinPoker en ClubWPT Gold hebben niet in elk land een licentie; of je er kunt spelen, hangt af van waar je woont.