Skadevare i pokerverktøy avslørte hole cards

Ifølge Jurojin og WIRED snek en angriper fjernstyringsprogramvare inn i oppdateringer til to populære tredjeparts pokerverktøy for å se hole cards til en utvalgt gruppe, for det meste high stakes-spillere. Verktøyene er Jurojin og IntuitiveTables, begge tredjepartsprogrammer for multitabling. Pokerrommene har svart svært ulikt, fra utestengelser og refusjoner til et klart nei til refusjon, og ACR Poker slår på bordbeskyttelsen ScreenShield som standard fra 4. november.

Slik fungerte angrepet

I en sikkerhetsmelding sist oppdatert 2. oktober sier Jurojin at en angriper mellom juni 2025 og januar 2026 «klarte å erstatte oppdateringspakken som ble levert til én bestemt gruppe Jurojin-brukere, med en manipulert versjon», og at «noen av disse pakkene inneholdt et fjerntilgangsverktøy». Jurojin kaller det «en svært målrettet operasjon, ikke et masseangrep», rettet mot bestemte motstandere «med mål om å se hole cards deres på avstand». Perioden gjelder bare Jurojins egen oppdateringskanal; Jurojin sier at ingenting mer ble lastet opp til serverne etter 28. januar 2026.

WIRED, i en gransking publisert 29. oktober, kaller fjerntilgangsprogrammet MeshAgent. Ifølge sikkerhetsforskeren WolfSec, som først varslet på X 29. september, hadde utvikleren av IntuitiveTables Jurojin på en test-PC, og den maskinen ble infisert via den manipulerte oppdateringen. WolfSec sier at angriperen deretter la skadelig kode inn i IntuitiveTables før utvikleren signerte en ny versjon, og at versjonen ble lagt ut som offentlig nedlasting. WIRED henviser til WolfSec for denne forklaringen og siterer ikke IntuitiveTables-utvikleren på den.

Ifølge WolfSec handlet den manipulerte IntuitiveTables-versjonen bare på brukernavn fra en liste som lå på angriperens servere. WolfSec sa til WIRED: «Sto du på en hardkodet liste … så fungerte den som et skadelig program … Sto du ikke på listen, ble det det vanlige programmet.» WIRED sier at listen i hovedsak besto av faste high stakes-spillere på flere sider.

Hvor stort det var

Her er framstillingene ulike, og tallene under er anslag, ikke bekreftede summer.

• WolfSec anslår, via WIRED, at den manipulerte programvaren nådde mer enn 1 000 brukere. WIRED sier at hundrevis av spillere angivelig ble utsatt over flere år.

• Kilder WIRED har snakket med, anslår at angriperen angivelig tok mellom 1,5 og 4 millioner dollar fra spillere på GGPoker og ACR.

• Jurojin har et smalere syn: «bare en håndfull high stakes-spillere ble skadet ved å faktisk spille mot angriperen mens hole cards deres var eksponert.» Jurojin legger til at «eksponering betyr ikke at en enhet var infisert.»

WIRED sier at spilleren den beskriver, ikke er siktet for noe straffbart forhold (per 29. oktober), og vi navngir ikke personen som er anklaget i miljørapporter.

Hva pokerrommene sier

ACR Poker / Winning Poker Network (WPN). I en pressemelding 16. oktober sier WPN at Game Integrity-teamet gjennomgikk mer enn 2 000 000 hender fra spillere der MeshAgent ble oppdaget på enheten, «og fant ingen tegn til at noen spiller i denne gjennomgangen brukte kunnskap om hole cards på WPN». En konto de hadde gjennomgått, ble stengt på separat grunnlag knyttet til integritet og risikostyring, og WPN sier at avgjørelsen er atskilt fra funnet om hole cards. Ifølge WIRED sendte ACR en e-post til spillerne 18. oktober om at de ikke ville gi refusjon.

Fra 4. november slås ScreenShield, som blokkerer bordinnhold for verktøy for skjermopptak og skjermdeling, på som standard for spillere på ACR Poker; WPN beskriver det som en standard for hele nettverket. Spillere som trenger skjermopptak til streaming, coaching eller opptak, kan slå det av selv i klientens innstillinger. WPN hadde allerede slått det på fra 29. september for spillere der enheten oppfylte deteksjonskriteriene, og sier at ScreenShield ikke er «et fullstendig svar på alle cybertrusler». WPN vurderer også en regel som kan forby tredjepartsprogramvare ved siden av klienten; ingen beslutning er tatt.

Separat sa ACR 17. oktober at en programvarefeil i klienten hadde skapt «en potensiell sikkerhetssårbarhet», som er rettet, og at den ikke fant tegn til kontokompromittering. ACR har ikke sagt hva feilen var, eller koblet den til verktøyoppdateringene.

GGPoker. I et blogginnlegg 15. oktober forbød GGPoker all tredjeparts pokerprogramvare og alle automatiseringsverktøy, blant annet Jurojin og Intuitive Tables, og la til gjenkjenning av unormalt høye gevinstrater i integritetskontrollene. GGPoker innførte også valgfrie sikkerhetsfunksjoner i klienten, blant dem Screen Guard, som holder bordene ute av skjermbilder, skjermdelinger og apper for fjernvisning. GGPoker sier at det sporet pengene til en kryptolommebok og delte funnene «med Coinbase, der vi tror pengene ble satt inn», med en oppfordring om å begrense kontoen.

CoinPoker og ClubWPT Gold. Ifølge WIRED utestengte CoinPoker kontoen og refunderte mer enn 100 000 dollar til berørte spillere, og ClubWPT Gold utestengte kontoen og refunderte en spiller for tapene hans.

Vår vurdering

I rapportene over spredte skadevaren seg via tredjepartsverktøy som spillere kjører ved siden av pokerklienten. ACRs separate klientfeil er ikke koblet til dem. Hvis du bruker Jurojin, anbefaler meldingen en ren Windows-installasjon dersom du fikk e-posten deres eller så varselsignaler, og tilbyr et kontrollverktøy, Jurojin Mesh Check, på jurojinpoker.com; ifølge meldingen er «et rent resultat ingen garanti». Last bare ned verktøy fra utviklerens egen side, og vær skeptisk til meldinger som tilbyr en «sjekk» eller en refusjon: Jurojin sier at den samme aktøren drev phishing-sider som utga seg for å være pokerrom og kjente verktøy. Refusjon er opp til hvert rom, og per 31. oktober varierer den mye.

Mer om pokerrom og tvister: Bryn Kenneys søksmål mot GGPokers eier, 888s regulerte pokerlansering i Alberta og Norges høring om Norsk Tippings nettpoker. Om et innbrudd hos et kryptospillsted, se Gamdoms hot wallet-hendelse.

Tilgjengelighet: ACR Poker, GGPoker, CoinPoker og ClubWPT Gold har ikke lisens i alle land; om du kan spille, avhenger av hvor du bor.