McAfee ha visto WeedHack continuare a colpire i giocatori di Minecraft anche dopo il takedown di luglio: nell’ultimo mese WebAdvisor ha bloccato oltre 6.300 tentativi di accesso ai siti malevoli collegati alla campagna. Il punto non è solo che la campagna è ancora viva. È che il canale di distribuzione si è spostato su servizi legittimi già considerati affidabili dagli utenti.
Al posto di un C2 o di un dominio facilmente marcabile come malevolo, gli operatori stanno distribuendo i link tramite Discord, MediaFire, GitHub e Dropbox. Discord da solo concentra il 49,6% dei link osservati da McAfee. Per chi scarica mod o client da canali condivisi, il download sembra un file normale prima ancora che il payload entri in scena.
Per le comunità Minecraft e per chi filtra gli URL in azienda, la lezione è che rimuovere l’infrastruttura iniziale non basta se la distribuzione si appoggia a piattaforme fidate. La superficie di rischio diventa l’abitudine a fidarsi di un link condiviso, non un singolo sito ospitato male.