Malware w narzędziach pokerowych odsłonił karty

Według Jurojin i WIRED atakujący wsunął oprogramowanie do zdalnego dostępu do aktualizacji dwóch popularnych zewnętrznych narzędzi pokerowych, aby widzieć karty własne wybranej grupy graczy, głównie wysokostawkowych. Te narzędzia to Jurojin i IntuitiveTables, oba zewnętrzne programy do gry na wielu stołach. Zaangażowane pokerroomy zareagowały bardzo różnie, od banów i zwrotów po stanowczą odmowę zwrotów, a ACR Poker włącza ochronę stołów ScreenShield domyślnie od 4 listopada.

Jak przebiegł atak

W komunikacie bezpieczeństwa, ostatnio zaktualizowanym 2 października, Jurojin pisze, że między czerwcem 2025 a styczniem 2026 atakujący „potrafił z przerwami podmieniać pakiet aktualizacji dostarczany jednej konkretnej grupie użytkowników Jurojin na zmanipulowaną wersję” oraz że „część tych pakietów zawierała narzędzie do zdalnego dostępu”. Jurojin nazywa to „wysoce ukierunkowaną operacją, a nie atakiem masowym”, wymierzoną w konkretnych rywali „w celu zdalnego podglądania ich kart własnych”. Ten okres dotyczy tylko własnego kanału aktualizacji Jurojin; według Jurojin po 28 stycznia 2026 r. na jego serwery nie wgrano już niczego innego.

WIRED w śledztwie opublikowanym 29 października nazywa program do zdalnego dostępu MeshAgent. Według badacza bezpieczeństwa WolfSec, który jako pierwszy podniósł alarm na X 29 września, twórca IntuitiveTables miał Jurojin na testowym komputerze, a ta maszyna została zainfekowana przez zmanipulowaną aktualizację. WolfSec twierdzi, że atakujący dodał potem złośliwy kod do IntuitiveTables, zanim twórca podpisał nową wersję, i że ta wersja trafiła do publicznego pobrania. WIRED przypisuje tę drogę WolfSec i nie cytuje w tej sprawie twórcy IntuitiveTables.

Według WolfSec zmanipulowana wersja IntuitiveTables działała tylko dla nazw użytkowników z listy na serwerach atakującego. WolfSec powiedział WIRED: „Jeśli byłeś na zaszytej w kodzie liście … działał jak złośliwy program … Jeśli nie byłeś na tej liście, stawał się zwykłym programem.” Według WIRED lista składała się głównie ze stałych graczy wysokostawkowych na kilku stronach.

Jak duża była skala

Tu relacje się różnią, a poniższe liczby to szacunki, nie potwierdzone sumy.

• WolfSec szacuje za pośrednictwem WIRED, że zmanipulowane oprogramowanie dotarło do ponad 1 000 użytkowników. WIRED pisze, że przez kilka lat celem miały być setki graczy.

• Źródła, z którymi rozmawiał WIRED, szacują, że atakujący miał zabrać graczom GGPoker i ACR od 1,5 do 4 mln dolarów.

• Jurojin widzi to węziej: „tylko garstka graczy wysokostawkowych poniosła szkodę, grając faktycznie przeciwko atakującemu, gdy ich karty własne były odsłonięte.” Jurojin dodaje, że „odsłonięcie nie oznacza, że urządzenie było zainfekowane.”

WIRED pisze, że opisywany przez niego gracz nie został o nic oskarżony (stan na 29 października), a my nie podajemy nazwiska osoby oskarżanej w doniesieniach ze społeczności.

Co mówią pokerroomy

ACR Poker / Winning Poker Network (WPN). W komunikacie z 16 października WPN podaje, że jego zespół Game Integrity przejrzał ponad 2 000 000 rozdań graczy, na których urządzeniach wykryto MeshAgent, „i nie znalazł dowodów, by którykolwiek gracz objęty tym przeglądem korzystał na WPN ze znajomości kart własnych”. Jedno przeglądane konto zamknięto z odrębnych powodów związanych z integralnością i zarządzaniem ryzykiem, a WPN twierdzi, że ta decyzja jest niezależna od ustaleń dotyczących kart własnych. Według WIRED ACR napisał do graczy 18 października, że nie wypłaci zwrotów.

Od 4 listopada ScreenShield, który blokuje zawartość stołów przed narzędziami do przechwytywania i udostępniania ekranu, będzie domyślnie włączony dla graczy ACR Poker; WPN opisuje go jako standard całej sieci. Gracze, którzy potrzebują przechwytywania ekranu do streamingu, coachingu lub nagrań, mogą wyłączyć go sami w ustawieniach klienta. WPN włączył go już od 29 września graczom, których urządzenia spełniały jego kryteria wykrywania, i mówi, że ScreenShield nie jest „pełną odpowiedzią na każde zagrożenie cybernetyczne”. WPN rozważa też zasadę, która mogłaby zakazać oprogramowania zewnętrznego obok jego klienta; decyzji nie podjęto.

Osobno ACR poinformował 17 października, że błąd oprogramowania w jego kliencie stworzył „potencjalną lukę w zabezpieczeniach”, którą załatano, i że nie znalazł dowodów na przejęcie kont. ACR nie powiedział, na czym polegał błąd, ani nie powiązał go z aktualizacjami narzędzi.

GGPoker. We wpisie na blogu z 15 października GGPoker zakazał wszelkiego zewnętrznego oprogramowania pokerowego i narzędzi automatyzujących, w tym Jurojin i Intuitive Tables, oraz dodał do kontroli integralności wykrywanie nienormalnie wysokich współczynników wygranych. Wprowadził też opcjonalne funkcje bezpieczeństwa w kliencie, m.in. Screen Guard, który chroni stoły przed zrzutami ekranu, udostępnianiem ekranu i aplikacjami do zdalnego podglądu. GGPoker twierdzi, że namierzył środki do portfela kryptowalutowego i przekazał ustalenia „Coinbase, gdzie naszym zdaniem wpłacono środki”, prosząc o ograniczenie konta.

CoinPoker i ClubWPT Gold. Według WIRED CoinPoker zbanował konto i zwrócił poszkodowanym graczom ponad 100 000 dolarów, a ClubWPT Gold zbanował konto i zwrócił jednemu graczowi jego straty.

Nasza ocena

W powyższych relacjach malware wędrował w zewnętrznych narzędziach, które gracze uruchamiają obok klienta pokerowego. Odrębny błąd klienta ACR nie został z nimi powiązany. Jeśli używasz Jurojin, komunikat zaleca czystą reinstalację Windows, jeśli dostałeś jego e-mail lub zauważyłeś sygnały ostrzegawcze, i oferuje narzędzie kontrolne Jurojin Mesh Check na jurojinpoker.com; według komunikatu „czysty wynik nie jest gwarancją”. Pobieraj narzędzia wyłącznie ze strony twórcy i uważaj na wiadomości oferujące „kontrolę” lub zwrot: Jurojin twierdzi, że ten sam aktor prowadził strony phishingowe podszywające się pod pokerroomy i znane narzędzia. Zwroty zależą od każdego pokerroomu i według stanu na 31 października bardzo się różnią.

Więcej o pokerroomach i sporach: pozew Bryna Kenneya przeciwko właścicielowi GGPoker, uregulowany start pokera 888 w Albercie oraz norweskie konsultacje w sprawie pokera online Norsk Tipping. O włamaniu do kryptowalutowej strony zobacz incydent z gorącym portfelem Gamdom.

Dostępność: ACR Poker, GGPoker, CoinPoker i ClubWPT Gold nie mają licencji w każdym kraju; to, czy można w nich grać, zależy od miejsca zamieszkania.