Skadlig kod i pokerverktyg avslöjade hålkort

Enligt Jurojin och WIRED smög en angripare in fjärråtkomstprogram i uppdateringar av två populära pokerverktyg från tredje part, i syfte att se hålkorten hos en utvald grupp, mestadels high stakes-spelare. Verktygen är Jurojin och IntuitiveTables, båda program från tredje part för multitabling. Pokerrummen har reagerat mycket olika, från avstängningar och återbetalningar till ett tydligt nej till återbetalning, och ACR Poker slår på bordsskyddet ScreenShield som standard från den 4 november.

Så gick attacken till

I ett säkerhetsmeddelande, senast uppdaterat den 2 oktober, säger Jurojin att en angripare mellan juni 2025 och januari 2026 ”med mellanrum kunde byta ut uppdateringspaketet som levererades till en specifik grupp Jurojin-användare mot en manipulerad version” och att ”några av de paketen innehöll ett fjärråtkomstverktyg”. Jurojin kallar det ”en mycket riktad operation, inte en massattack”, riktad mot specifika motståndare ”med målet att på distans se deras hålkort”. Det tidsfönstret gäller bara Jurojins egen uppdateringskanal; Jurojin säger att inget mer laddades upp till servrarna efter den 28 januari 2026.

WIRED, i en granskning publicerad den 29 oktober, kallar fjärråtkomstprogrammet MeshAgent. Enligt säkerhetsforskaren WolfSec, som först slog larm på X den 29 september, hade utvecklaren av IntuitiveTables Jurojin på en testdator, och den datorn infekterades via den manipulerade uppdateringen. WolfSec säger att angriparen sedan lade in skadlig kod i IntuitiveTables innan utvecklaren signerade en ny version, och att versionen lades ut som en offentlig nedladdning. WIRED hänvisar till WolfSec för den här vägen och citerar inte IntuitiveTables-utvecklaren om den.

Enligt WolfSec agerade den manipulerade IntuitiveTables-versionen bara på användarnamn från en lista på angriparens servrar. WolfSec sa till WIRED: ”Stod du på en hårdkodad lista … så fungerade det som ett skadligt program … Stod du inte på listan, blev det det vanliga programmet.” WIRED säger att listan huvudsakligen bestod av stamspelare på höga limiter på flera sajter.

Hur stort det var

Här skiljer sig uppgifterna åt, och siffrorna nedan är uppskattningar, inte bekräftade summor.

• WolfSec uppskattar, via WIRED, att den manipulerade programvaran nådde fler än 1 000 användare. WIRED säger att hundratals spelare enligt uppgift var måltavlor under flera år.

• Källor som WIRED talat med uppskattar att angriparen enligt uppgift tog mellan 1,5 och 4 miljoner dollar från spelare på GGPoker och ACR.

• Jurojins bild är snävare: ”bara en handfull high stakes-spelare skadades genom att faktiskt spela mot angriparen medan deras hålkort var exponerade.” Jurojin tillägger att ”exponering betyder inte att en enhet var infekterad.”

WIRED skriver att spelaren som beskrivs inte har åtalats för något brott (per den 29 oktober), och vi namnger inte den person som pekas ut i rapporter från spelarvärlden.

Vad pokerrummen säger

ACR Poker / Winning Poker Network (WPN). I ett pressmeddelande den 16 oktober säger WPN att dess Game Integrity-team granskade fler än 2 000 000 händer från spelare vars enheter hade MeshAgent upptäckt ”och inte hittade några belägg för att någon spelare i den granskningen använde kunskap om hålkort på WPN”. Ett granskat konto stängdes av separata skäl som rör integritet och riskhantering, och WPN säger att beslutet är skilt från fyndet om hålkort. Enligt WIRED mejlade ACR spelarna den 18 oktober att det inte skulle bli några återbetalningar.

Från den 4 november slås ScreenShield, som blockerar bordsinnehåll för verktyg för skärminspelning och skärmdelning, på som standard för spelare på ACR Poker; WPN beskriver det som en standard för hela nätverket. Spelare som behöver skärminspelning för streaming, coachning eller inspelning kan stänga av det själva i klientens inställningar. WPN hade redan från den 29 september slagit på det för spelare vars enheter uppfyllde dess upptäcktskriterier, och säger att ScreenShield inte är ”ett fullständigt svar på alla cyberhot”. WPN utvärderar också en regel som skulle kunna förbjuda tredjepartsprogram vid sidan av klienten; inget beslut har fattats.

Separat sa ACR den 17 oktober att ett programfel i klienten hade skapat ”en potentiell säkerhetsbrist”, som har åtgärdats, och att man inte fann några belägg för att konton komprometterats. ACR har inte sagt vad felet var eller kopplat det till verktygsuppdateringarna.

GGPoker. I ett blogginlägg den 15 oktober förbjöd GGPoker all pokerprogramvara och alla automatiseringsverktyg från tredje part, däribland Jurojin och Intuitive Tables, och lade till upptäckt av onormalt höga vinstfrekvenser i sina integritetskontroller. GGPoker införde också valfria säkerhetsfunktioner i klienten, bland dem Screen Guard, som håller borden utanför skärmdumpar, skärmdelningar och appar för fjärrvisning. GGPoker säger att man spårade pengarna till en kryptoplånbok och delade sina fynd ”med Coinbase, där vi tror att pengarna sattes in”, med en begäran om att begränsa kontot.

CoinPoker och ClubWPT Gold. Enligt WIRED stängde CoinPoker av kontot och återbetalade mer än 100 000 dollar till drabbade spelare, och ClubWPT Gold stängde av kontot och ersatte en spelare för hans förluster.

Vår bedömning

I rapporterna ovan spreds skadeprogrammet via verktyg från tredje part som spelare kör vid sidan av pokerklienten. ACR:s separata klientfel har inte kopplats till dem. Om du använder Jurojin rekommenderar meddelandet en ren Windows-ominstallation om du fick mejlet från dem eller såg varningstecken, och erbjuder ett kontrollverktyg, Jurojin Mesh Check, på jurojinpoker.com; enligt meddelandet är ”ett rent resultat ingen garanti”. Ladda bara ned verktyg från utvecklarens egen sajt och var misstänksam mot meddelanden som erbjuder en ”kontroll” eller en återbetalning: Jurojin säger att samma aktör drev nätfiskesajter som utgav sig för att vara pokerrum och kända verktyg. Återbetalningar är upp till varje rum, och per den 31 oktober skiljer de sig mycket åt.

Mer om pokerrum och tvister: Bryn Kenneys stämning mot GGPokers ägare, 888:s reglerade pokerlansering i Alberta och Norges samråd om Norsk Tippings nätpoker. Om ett intrång hos en kryptosajt, se Gamdoms hot wallet-incident.

Tillgänglighet: ACR Poker, GGPoker, CoinPoker och ClubWPT Gold har inte licens i alla länder; om du kan spela beror på var du bor.