Вирус Fractureiser: обнаружение и удаление

Если вы устанавливали моды из CurseForge или CraftBukkit — срочно проверьте систему. Вирус Fractureiser распространялся через обновления модпаков и мог инфицировать .jar файлы, красть учётные данные и cookies. Сканируйте систему официальными скриптами, используйте Neko Detector для поиска заражённых .jar, создайте резервную копию на отдельном носителе, поменяйте пароли и при необходимости переустановите ОС.

Рука использует тачпад ноутбука Mac

Что вы узнаете в этой статье

Быстрая проверка наличия Fractureiser
Пошаговое удаление и откат
План действий для авторов модов и администраторов серверов
Контрольные тесты и критерии приёмки

Что такое вирус Fractureiser

Fractureiser — это вредоносный мод, который распространялся как легитимные обновления на платформах моддинга. Злоумышленники использовали одноразовые аккаунты и выкладывали заражённые файлы как апдейты популярных модпаков, модов и плагинов Bukkit. После запуска Minecraft заражённый .jar мог выполнить код, просканировать систему, заражать другие .jar и пытаться собрать чувствительные данные: криптокошельки, данные Microsoft/Xbox Live, учётные записи Discord и данные Minecraft.

Полезно знать

Вирус активировал полный модуль через удалённые серверы. На момент проверки многие из этих серверов были недоступны, но риск реактивации остаётся.
Первые злонамеренные файлы датируются примерно серединой апреля и могли оставаться незамеченными до июня.

Как понять, заражён ли ваш компьютер

Проверьте систему сразу, если вы когда-либо устанавливали моды с CurseForge или CraftBukkit. Даже старые установки могут оказаться заражёнными.
Приоритетные платформы для сканирования: Windows и Linux. MacOS менее подвержена вектору, но тоже требует внимания.

Рекомендуемые инструменты

Официальный скрипт проверки от Prism Launcher для Windows и Linux. Скрипт автоматизирует проверку файлов и даёт инструкции по запуску.
Neko Detector (MCRcortex) на GitHub — инструмент для детальной проверки .jar файлов на признаки Fractureiser.
Веб-сканер Fractureiser на GitHub — полезен для проверки модов до загрузки. Не даёт 100% гарантии, но эффективно ищет характерные байт-последовательности.

Важно

Если скрипт находит подозрительные файлы — выполните детальную проверку Neko Detector и не запускайте Minecraft на этой системе до завершения анализа.

Пейзаж Minecraft с холмами

Пошаговое удаление вируса Fractureiser

Отключите интернет на машине, если подозреваете активную инфекцию. Это снижает риск передачи данных и блокирует возможность подгрузки дополнительного кода.
Сделайте холодную резервную копию всех важных файлов на внешний носитель. Не работайте с резервной копией на той же системе.
Сканируйте систему Prism Launcher скриптом. Если обнаружения были — перейдите к Neko Detector для полного анализа .jar.
Если заражённые .jar найдены в модпаке или директории Minecraft, удалите эти файлы и все сомнительные исполняемые файлы.
Независимо от результатов, смените пароли на отдельном, ненатронутом устройстве, начиная с наиболее важных аккаунтов: электронная почта, Microsoft/Xbox, криптокошельки, Discord.
Проверьте сессии в браузере и в приложениях на предмет посторонних логинов и завершите незнакомые сессии.
По возможности полностью переустановите операционную систему. Это единственный способ с высокой степенью гарантии очистки комплекта системных компонентов.
Перед восстановлением данных с внешнего носителя просканируйте бэкап Neko Detector. Убедитесь, что в бэкапе нет заражённых .jar.
Обновите антивирусные базы и выполните полное сканирование. Современные антивирусы уже идентифицируют ряд вредоносных модулей, связанных с Fractureiser.

Критерии приёмки

На машине не обнаружены заражённые .jar по результатам Neko Detector и Prism Launcher.
Все критические пароли сменены с защищённого устройства.
Восстановленные файлы прошли сканирование и не содержат заражённых модулей.

План для авторов модов и администраторов серверов

Если вы управляете проектом, модпаком или сервером, действуйте по этой инструкции:

Инцидентный план для проекта

Немедленно снять подозрительную версию из распространения.
Объявить о возможной компрометации через все официальные каналы: страница проекта, Discord, форум.
Опубликовать контрольную сумму чистой версии и инструкции по верификации.
Провести аудит репозитория и утвердить процедуру восстановления с проверкой подписи при последующих релизах.

Ролебейзовый чеклист

Пользователь: проверить свой клиент, сделать бэкап, поменять пароли и сканировать бэкап.
Автор модов: проверить историю коммитов, права доступа к репозиторию, удалить скомпрометированные учётные записи, опубликовать безопасную сборку.
Администратор сервера: проверить все плагинные .jar, откатить до безопасной резервной копии, проверить логи на подозрительную активность.

Мини-методология для проверки модов перед установкой

Всегда проверяйте источник модов. Используйте официальные страницы проектов и подписанные релизы.
Перед установкой просканируйте архив или .jar локальным детектором и онлайн-сканером.
Смотрите на историю версий и автора обновления. Одноразовые аккаунты и внезапные обновления — красный флаг.
При сомнениях не устанавливайте мод, пока не проверите его в песочнице.

Mermaid-схема принятия решения

flowchart TD
  A[Подозрение на заражение] --> B{Есть доступ к другому устройству?}
  B -- Да --> C[Поменять пароли с чистого устройства]
  B -- Нет --> D[Подключить устройство-носитель только для бэкапа]
  A --> E[Запустить Prism Launcher скрипт]
  E --> F{Обнаружены подозрительные файлы?}
  F -- Да --> G[Запустить Neko Detector и удалить заражённые .jar]
  F -- Нет --> H[Обновить антивирус и сканировать полностью]
  G --> I[Переустановить ОС или выполнить глубокую очистку]
  H --> I
  I --> J[Проверить бэкап, восстановить данные]

Тесты и критерии приёмки для чистой системы

Тестовые сценарии

Установка и запуск Minecraft с теми же модами на виртуальной машине без доступа к реальным учётным данным — система не должна создавать исходящих соединений к неизвестным доменам.
SAST/HAST-проверка .jar на известные сигнатуры Fractureiser — нулевые совпадения.
Проверка контрольных сумм официальных релизов с площадки проекта — совпадение.

Критерии приёмки

Отсутствие подозрительных исходящих сетевых соединений в момент запуска игрового клиента.
Neko Detector не находит сигнатур Fractureiser в установленных .jar.
Все восстановленные учётные данные подтверждены как безопасные после смены паролей и ревизии сессий.

Меры безопасности и жёсткая защита

Включите двухфакторную аутентификацию в Microsoft, Discord и почте.
Используйте уникальные пароли и менеджер паролей.
Запускайте новые моды сначала в изолированной виртуальной машине или на отдельной учётной записи пользователя.
Ограничьте права на запись для директории Minecraft, где это возможно.
Регулярно обновляйте систему, Java и антивирусные базы.

Важно

Проверяйте цифровые подписи релизов и используйте многоуровневую проверку перед возобновлением распространения модов проекта.

Сценарии, когда предложенные меры не помогут

Если у злоумышленника были сохранённые бэкапы с уже украденными учётными данными, смена паролей на той же машине не гарантирует безопасность.
Если ключи или seed фраза криптокошелька были захвачены, восстановление зависит от процедур конкретного сервиса и часто требует специальных мер.

Короткая памятка для обычного пользователя

Не устанавливайте моды из непроверенных источников.
Сканы: Prism Launcher скрипт, Neko Detector, веб-сканер Fractureiser.
Смена паролей с чистого устройства — первоочередная задача.

1-строчный глоссарий

.jar — Java ARchive, формат пакета модов и плагинов.
Модпак — сборка модов и конфигураций для игры.
CurseForge и CraftBukkit — популярные площадки для публикации модов и плагинов.
Prism Launcher — лаунчер с инструментами для проверки модов.
Neko Detector — инструмент для поиска сигнатур Fractureiser.

Итог

Fractureiser показал, что цепочка поставки модов может стать источником серьёзных угроз. Быстрая реакция, проверенные инструменты и чёткий план действий позволяют снизить риски. Если вы обнаружили заражение — действуйте последовательно: изолируйте машину, создайте бэкап, проверьте файлы Neko Detector, смените пароли с чистого устройства и при необходимости переустановите ОС.

Ключевые рекомендации