Malware em ferramentas de póquer expôs cartas

Segundo a Jurojin e a WIRED, um atacante introduziu software de acesso remoto em atualizações de duas ferramentas de póquer de terceiros muito usadas, com o objetivo de ver as cartas fechadas de uma lista dirigida de jogadores, na maioria de limites altos. As ferramentas são o Jurojin e o IntuitiveTables, dois programas de terceiros para jogar em várias mesas. As salas envolvidas reagiram de formas muito diferentes, de banimentos e reembolsos a um não firme aos reembolsos, e a ACR Poker ativa por predefinição a proteção de mesa ScreenShield a partir de 4 de novembro.

Como funcionou o ataque

Num aviso de segurança atualizado pela última vez a 2 de outubro, a Jurojin afirma que, entre junho de 2025 e janeiro de 2026, um atacante “conseguiu substituir de forma intermitente o pacote de atualização entregue a um grupo específico de utilizadores do Jurojin por uma versão adulterada” e que “alguns desses pacotes incluíam uma ferramenta de acesso remoto”. A Jurojin descreve-o como “uma operação altamente dirigida, não um ataque em massa”, contra adversários específicos “com o objetivo de ver as suas cartas fechadas à distância”. Esse período diz respeito apenas ao canal de atualizações da própria Jurojin; segundo a Jurojin, depois de 28 de janeiro de 2026 não foi carregado mais nada nos seus servidores.

A WIRED, numa investigação publicada a 29 de outubro, chama MeshAgent ao programa de acesso remoto. Segundo o investigador de segurança WolfSec, que deu o alerta pela primeira vez no X a 29 de setembro, o programador do IntuitiveTables tinha o Jurojin num computador de teste, e essa máquina foi infetada pela atualização adulterada. O WolfSec diz que o atacante acrescentou depois código malicioso ao IntuitiveTables antes de o programador assinar uma nova versão, e que essa versão saiu como descarregamento público. A WIRED atribui este percurso ao WolfSec e não cita o programador do IntuitiveTables sobre o assunto.

Segundo o WolfSec, a versão adulterada do IntuitiveTables só atuava com nomes de utilizador de uma lista nos servidores do atacante. O WolfSec disse à WIRED: “Se estivesses numa lista codificada … comportava-se como um programa malicioso … Se não estivesses nessa lista, passava a ser o programa normal.” Segundo a WIRED, a lista era composta sobretudo por jogadores habituais de limites altos em vários sites.

Qual foi a dimensão

Aqui as versões divergem, e os números abaixo são estimativas, não totais confirmados.

• O WolfSec estima, através da WIRED, que o software adulterado chegou a mais de 1 000 utilizadores. A WIRED diz que centenas de jogadores terão sido alvo ao longo de vários anos.

• Fontes ouvidas pela WIRED estimam que o atacante terá retirado entre 1,5 e 4 milhões de dólares a jogadores da GGPoker e da ACR.

• A Jurojin tem uma leitura mais restrita: “apenas um punhado de jogadores de limites altos foi prejudicado por jogar realmente contra o atacante enquanto as suas cartas fechadas estavam expostas.” A Jurojin acrescenta que “exposição não significa que um dispositivo estivesse infetado.”

A WIRED escreve que o jogador que descreve não foi acusado de qualquer crime (a 29 de outubro), e nós não nomeamos a pessoa visada em relatos da comunidade.

O que dizem as salas de póquer

ACR Poker / Winning Poker Network (WPN). Num comunicado de 16 de outubro, a WPN diz que a sua equipa de Game Integrity analisou mais de 2 000 000 de mãos de jogadores em cujos dispositivos foi detetado o MeshAgent, “e não encontrou provas de que algum jogador dessa análise usasse conhecimento de cartas fechadas na WPN”. Uma conta analisada foi encerrada por motivos distintos de integridade e gestão de risco, e a WPN afirma que essa decisão é separada da conclusão sobre as cartas fechadas. Segundo a WIRED, a ACR escreveu aos jogadores a 18 de outubro que não faria reembolsos.

A partir de 4 de novembro, o ScreenShield, que bloqueia o conteúdo das mesas às ferramentas de captura e partilha de ecrã, ficará ativo por predefinição para os jogadores da ACR Poker; a WPN descreve-o como um padrão de toda a rede. Os jogadores que precisem de captura de ecrã para streaming, coaching ou gravações podem desativá-lo eles próprios nas definições do cliente. A WPN já o tinha ativado desde 29 de setembro para jogadores cujos dispositivos cumpriam os seus critérios de deteção, e diz que o ScreenShield não é “uma resposta completa a todas as ameaças de cibersegurança”. A WPN está também a avaliar uma regra que poderia proibir software de terceiros ao lado do seu cliente; não foi tomada nenhuma decisão.

Em separado, a ACR disse a 17 de outubro que um erro de software no seu cliente tinha criado “uma potencial vulnerabilidade de segurança”, entretanto corrigida, e que não encontrou provas de contas comprometidas. A ACR não disse qual foi o erro nem o ligou às atualizações das ferramentas.

GGPoker. Numa publicação de blogue de 15 de outubro, a GGPoker proibiu todo o software de póquer e todas as ferramentas de automatização de terceiros, incluindo o Jurojin e o Intuitive Tables, e acrescentou aos seus controlos de integridade a deteção de taxas de vitória anómalas. Introduziu ainda funcionalidades de segurança opcionais no cliente, entre elas o Screen Guard, que mantém as mesas fora de capturas de ecrã, partilhas de ecrã e aplicações de visualização remota. A GGPoker diz que seguiu o rasto dos fundos até uma carteira cripto e partilhou as conclusões “com a Coinbase, onde acreditamos que os fundos foram depositados”, pedindo que restringisse a conta.

CoinPoker e ClubWPT Gold. Segundo a WIRED, a CoinPoker baniu a conta e reembolsou mais de 100 000 dólares a jogadores afetados, e a ClubWPT Gold baniu a conta e reembolsou um jogador pelas suas perdas.

A nossa leitura

Nos relatos acima, o malware viajou em ferramentas de terceiros que os jogadores executam ao lado do cliente de póquer. O erro separado do cliente da ACR não foi ligado a elas. Se usa o Jurojin, o aviso recomenda uma reinstalação limpa do Windows se recebeu o email da Jurojin ou viu sinais de alerta, e oferece uma ferramenta de verificação, o Jurojin Mesh Check, em jurojinpoker.com; segundo o aviso, “um resultado limpo não é uma garantia”. Descarregue ferramentas apenas do site do programador e desconfie de mensagens que ofereçam uma “verificação” ou um reembolso: a Jurojin diz que o mesmo agente geria sites de phishing que imitavam salas de póquer e ferramentas conhecidas. Os reembolsos dependem de cada sala e, a 31 de outubro, variam muito.

Mais sobre salas de póquer e disputas: o processo de Bryn Kenney contra o proprietário da GGPoker, o lançamento do póquer regulado da 888 em Alberta e a consulta norueguesa sobre o póquer online da Norsk Tipping. Sobre uma intrusão num site cripto, veja o incidente da hot wallet da Gamdom.

Disponibilidade: A ACR Poker, a GGPoker, a CoinPoker e a ClubWPT Gold não têm licença em todos os países; poder jogar depende de onde se vive.