Вредонос в покерных утилитах раскрыл карманные карты

По данным Jurojin и WIRED, атакующий подсунул программу удалённого доступа в обновления двух популярных сторонних покерных утилит, чтобы видеть карманные карты целевой группы игроков, в основном высоколимитных. Эти утилиты — Jurojin и IntuitiveTables, обе сторонние программы для мультитейблинга. Затронутые покер-румы отреагировали по-разному: от банов и возвратов до твёрдого отказа возвращать деньги, а ACR Poker включает защиту столов ScreenShield по умолчанию с 4 ноября.

Как работала атака

В уведомлении о безопасности, обновлённом 2 октября, Jurojin пишет, что в период с июня 2025 по январь 2026 года атакующий «мог периодически подменять пакет обновления, доставлявшийся одной конкретной группе пользователей Jurojin, на изменённую версию», и что «часть этих пакетов включала инструмент удалённого доступа». Jurojin называет это «высоко целенаправленной операцией, а не массовой атакой», нацеленной на конкретных соперников «с целью удалённо видеть их карманные карты». Этот период относится только к собственному каналу обновлений Jurojin; по словам Jurojin, после 28 января 2026 года на его серверы больше ничего не загружалось.

WIRED в расследовании, опубликованном 29 октября, называет программу удалённого доступа MeshAgent. По словам исследователя безопасности WolfSec, который первым забил тревогу в X 29 сентября, у разработчика IntuitiveTables был установлен Jurojin на тестовом компьютере, и этот компьютер заразился через подменённое обновление. WolfSec утверждает, что затем атакующий добавил вредоносный код в IntuitiveTables до того, как разработчик подписал новую сборку, и эта сборка ушла в открытую загрузку. WIRED относит этот путь на счёт WolfSec и не цитирует разработчика IntuitiveTables на эту тему.

По словам WolfSec, подменённая сборка IntuitiveTables срабатывала только для имён пользователей из списка на серверах атакующего. WolfSec сказал WIRED: «Если вы были в жёстко прописанном списке … она действовала как вредоносная программа … Если вас в списке не было, она оставалась обычной программой.» По данным WIRED, список состоял в основном из постоянных высоколимитных игроков на нескольких сайтах.

Каков был масштаб

Здесь версии расходятся, а приведённые ниже цифры — оценки, а не подтверждённые итоги.

• WolfSec оценивает, по данным WIRED, что подменённая программа достигла более 1 000 пользователей. WIRED пишет, что на протяжении нескольких лет мишенью предположительно были сотни игроков.

• Источники, с которыми говорил WIRED, оценивают, что атакующий предположительно забрал у игроков GGPoker и ACR от 1,5 до 4 млн долларов.

• Jurojin смотрит на это уже: «пострадала лишь горстка высоколимитных игроков, которые реально играли против атакующего, пока их карманные карты были открыты.» Jurojin добавляет, что «открытость карт не означает, что устройство было заражено.»

WIRED пишет, что описанному в статье игроку (на 29 октября) не предъявлено обвинений в преступлении, а мы не называем человека, на которого указывают сообщения из сообщества.

Что говорят покер-румы

ACR Poker / Winning Poker Network (WPN). В релизе от 16 октября WPN сообщает, что его команда Game Integrity проверила более 2 000 000 рук игроков, на устройствах которых обнаружили MeshAgent, «и не нашла доказательств того, что какой-либо игрок в этой проверке использовал знание карманных карт на WPN». Один из проверенных аккаунтов закрыли по отдельным причинам, связанным с честностью игры и управлением рисками, и WPN подчёркивает, что это решение не зависит от вывода о карманных картах. По данным WIRED, ACR написал игрокам 18 октября, что возвратов не будет.

С 4 ноября ScreenShield, который скрывает содержимое столов от инструментов захвата и демонстрации экрана, будет включён по умолчанию для игроков ACR Poker; WPN называет его стандартом для всей сети. Игроки, которым нужен захват экрана для стриминга, коучинга или записи, могут сами отключить его в настройках клиента. WPN уже включила его с 29 сентября для игроков, чьи устройства подпадали под её критерии обнаружения, и говорит, что ScreenShield — не «полный ответ на любую киберугрозу». WPN также изучает правило, которое могло бы запретить стороннее ПО рядом с её клиентом; решения пока нет.

Отдельно ACR заявил 17 октября, что программная ошибка в его клиенте создала «потенциальную уязвимость безопасности», которую исправили, и что признаков компрометации аккаунтов он не нашёл. ACR не сказал, в чём была ошибка, и не связал её с обновлениями утилит.

GGPoker. В блоге от 15 октября GGPoker запретил всё стороннее покерное ПО и инструменты автоматизации, включая Jurojin и Intuitive Tables, и добавил в проверки честности игры обнаружение аномально высокого винрейта. Также он ввёл необязательные функции безопасности клиента, в том числе Screen Guard, который не даёт столам попасть в скриншоты, демонстрацию экрана и приложения для удалённого просмотра. GGPoker говорит, что проследил средства до криптокошелька и передал выводы «Coinbase, куда, по нашему мнению, были внесены средства», с просьбой ограничить аккаунт.

CoinPoker и ClubWPT Gold. По данным WIRED, CoinPoker заблокировал аккаунт и вернул пострадавшим игрокам более 100 000 долларов, а ClubWPT Gold заблокировал аккаунт и возместил одному игроку его потери.

Наш взгляд

В перечисленных сообщениях вредоносная программа распространялась через сторонние утилиты, которые игроки запускают рядом с покерным клиентом. Отдельная ошибка клиента ACR с ними не связана. Если вы пользуетесь Jurojin, его уведомление рекомендует чистую переустановку Windows, если вы получили его письмо или заметили тревожные признаки, и предлагает проверочный инструмент Jurojin Mesh Check на jurojinpoker.com; по словам разработчика, «чистый результат — не гарантия». Скачивайте утилиты только с сайта разработчика и с осторожностью относитесь к сообщениям, предлагающим «проверку» или возврат денег: по словам Jurojin, тот же актор вёл фишинговые сайты, выдававшие себя за покер-румы и известные утилиты. Возвраты — на усмотрение каждого рума, и на 31 октября они сильно различаются.

Больше о покер-румах и спорах: иск Брина Кенни к владельцу GGPoker, запуск регулируемого покера 888 в Альберте и консультации в Норвегии по онлайн-покеру Norsk Tipping. О взломе криптосайта см. инцидент с горячим кошельком Gamdom.

Доступность: ACR Poker, GGPoker, CoinPoker и ClubWPT Gold лицензированы не во всех странах; возможность играть зависит от того, где вы живёте.