Una segnalazione pubblicata su X da “WolfSec0x0” ha portato all’attenzione della community un attacco ai computer di alcuni giocatori di poker online.
Secondo la sua ricostruzione, versioni compromesse di software per il poker avrebbero installato un programma di accesso remoto senza che gli utenti ne fossero consapevoli, permettendo a un soggetto esterno di visualizzare lo schermo e controllare il PC.
“WolfSec0x0” si presenta come un esperto di cybersicurezza appassionato di poker. Nei successivi aggiornamenti indica Jurojin e IntuitiveTables come i due software compromessi, ma sottolinea che aver utilizzato i programmi non significa automaticamente essere stati infettati. I due software sono consapevoli del problema, stanno collaborando e hanno già “pulito” le ultime versioni disponibili.
| Room | Bonus | Visita |
|---|---|---|
 | Welcome Bonus Poker 100% fino a 1.000€ + 20€ Gratis con CIE | |
 | 100€ gratis alla settimana + 100% fino a 5.000€ | |
 | fino a 3.500 € |
Un attacco mirato ai giocatori
Tutti gli utenti dei programmi coinvolti sarebbero stati esposti allo stesso modo? In teoria no.
L’autore parla di selezione delle vittime. Il software compromesso avrebbe controllato le cartelle delle hand history, nelle quali compaiono gli username dei giocatori, confrontando le informazioni ricavate con una lista presente sul server di comando e controllo dell’attaccante.
Se il giocatore non figurava nell’elenco, l’applicazione avrebbe continuato a funzionare normalmente, senza installare i componenti aggiuntivi. In caso di corrispondenza, invece, sarebbero stati scaricati ed eseguiti altri file, portando alla compromissione del computer.
Non un “bombardamento a tappeto” quindi, ma un attacco rivolto a utenti specifici. Di conseguenza, non è sufficiente questo a conoscere la situazione del proprio PC.
“WolfSec0x0” parla di circa una trentina di computer confermati come infetti, distribuiti tra Europa, America del Nord e Oceania.
Riteniamo meno probabile che il mercato chiuso italiano possa essere stato scelto come obiettivo, ma la prudenza non è mai troppa.
Mesh Agent: cosa sarebbe accaduto
Il componente individuato appartiene a MeshCentral, un software open source legittimo che consente la gestione remota dei computer, solitamente usato per assistenza. Il problema quindi non è il programma in sé, ma la sua installazione all’insaputa dei giocatori e il collegamento a un server controllato dall’attaccante.
Secondo i post pubblicati dall’autore, il componente si installerebbe come servizio Windows con il nome “Mesh Agent”, nascondendo i propri file e avviando, durante la connessione, un processo PowerShell con privilegi di sistema circa ogni venti minuti. Anche dopo la rimozione, lascerebbe alcune tracce nel registro di Windows.
L’accesso avrebbe consentito di vedere tutto ciò che compariva sullo schermo e di raggiungere informazioni presenti sul computer, comprese password salvate nel browser, cookie di sessione e dati delle carte memorizzate.
Per un giocatore di poker, poter osservare lo schermo significa potenzialmente vedere le carte dell’avversario durante una sessione. Ma il rischio va anche oltre al poker, visto che i cookie sottratti potrebbero permettere l’accesso ad account già autenticati e aggirare così password, autenticazione a due fattori e simili.
Nei casi in cui è stato possibile ricostruire le date, è emerso che l’agente sarebbe rimasto installato per mesi, anche oltre un anno. Sui computer finora confermati sarebbe stato rimosso o disabilitato, ma potrebbe essere ancora sgradito ospite di altri sconosciuti.
| Room | Bonus | Visita |
|---|---|---|
| Welcome Bonus Poker 100% fino a 1.000€ + 20€ Gratis con CIE | |
 | fino a 1.000 € | |
 | Rakeback giornaliera dal 45% |
Jurojin collabora alle verifiche
Jurojin sta collaborando con WolfSec0x0 per approfondire quanto accaduto e ha predisposto un sistema di controllo che puoi trovare a questo link, se hai utilizzato questo software e vuoi verificare di essere al sicuro.
Se hai utilizzato IntuitiveTables, invece, o vuoi altri sistemi di controllo, “WolfSec0x0” ne propone due. Attenzione: noi non abbiamo competenze informatiche per validare queste procedure. Le pubblichiamo a scopo informativo, e non ci assumiamo la responsabilità di alcuna conseguenza derivante dalla loro esecuzione.
Per cercare il servizio e le eventuali tracce nel registro, WolfSec0x0 propone di aprire PowerShell ed eseguire questi comandi:
Get-Service 'Mesh Agent'
Get-ChildItem 'HKLM:\SOFTWARE\Open Source'Secondo l’autore, la comparsa di “Mesh Agent” nei risultati indicherebbe che il componente è presente oppure è stato installato in passato. Il secondo comando serve proprio a cercare le chiavi che potrebbero rimanere dopo la rimozione.
Un ulteriore controllo riguarda le esclusioni di Microsoft Defender. In questo caso, l’autore indica di aprire PowerShell come amministratore e usare:
(Get-MpPreference).ExclusionPathWolfSec0x0 riferisce che su alcuni PC coinvolti era ancora presente un’esclusione dell’intera cartella C:\Windows. Se questa voce compare senza che l’utente l’abbia impostata, invita a considerare il computer compromesso.
C’è inoltre una cautela da non saltare: MeshCentral può essere installato legittimamente da un datore di lavoro o da un fornitore di assistenza informatica. La presenza dell’agente, quindi, non dimostra automaticamente un attacco.
Cosa suggerisce in caso positivo
Per chi dovesse individuare un’installazione non autorizzata, WolfSec0x0 propone una sequenza di interventi. Anche queste indicazioni sono riportate per informazione e ricadono nell’avvertenza precedente.
- Disconnettere il computer da internet, senza cancellare subito i file. Le prove potrebbero essere utili alle autorità e ai team di sicurezza delle poker room.
- Da un altro dispositivo considerato sicuro, cambiare prima la password dell’email e poi quelle degli account di poker, delle piattaforme crypto e degli altri servizi.
- Revocare tutte le sessioni attive e abilitare l’autenticazione a due fattori.
- Chiedere all’emittente la sostituzione delle carte salvate nel browser.
- Spostare i fondi eventualmente presenti nei wallet crypto software ospitati sul computer coinvolto.
- Segnalare l’accaduto ai team di sicurezza delle poker room utilizzate e alle autorità competenti.
- Dopo la raccolta delle prove, cancellare il sistema e reinstallare Windows: nella valutazione dell’autore, rimuovere soltanto l’agente non sarebbe sufficiente.
