У гравців в онлайн-покер виявили ПЗ для доступу до карт суперників

У комп’ютерах сотень професійних гравців в онлайн-покер виявили програму віддаленого доступу MeshAgent, яка, за даними учасників розслідування, могла дозволяти зловмиснику бачити екрани з картами суперників. Як повідомляє Wired, ймовірно скомпрометованими були користувачі популярних допоміжних програм IntuitiveTables та Jurojin.

Професійний гравець, названий Алексом, виявив MeshAgent 25 вересня 2026 року після збою SQL-бази даних. ШІ-агент Claude, який аналізував статистику гри, звернув увагу на програму, що працювала у фоновому режимі та могла захоплювати зображення екрана й керувати комп’ютером. За словами Алекса, програму встановили 24 квітня без його відома. Він також знайшов 11 позначених у часі епізодів захоплення екрана — у кожному випадку він грав на платформі Americas Cardroom.

Алекс стверджує, що в 10 із 11 таких сесій за його столом був той самий опонент із ніком OxOO. Він оцінив свої втрати приблизно у 30 тисяч доларів. Гравці та фахівці з кібербезпеки вважають, що атака могла тривати кілька років і торкнутися понад тисячі користувачів програм для одночасної гри за кількома столами.

Як поширювали шкідливе ПЗ

За оцінкою фахівця з кібербезпеки WolfSec, зловмисник скомпрометував механізми поширення обох програм. У випадку Jurojin він нібито отримав доступ до системи оновлень розробника та розсилав програму віддаленого доступу через звичайні автоматичні оновлення. Тестовий комп’ютер розробника IntuitiveTables був заражений через Jurojin, після чого шкідливий код додали до нової версії IntuitiveTables перед її підписанням сертифікатом безпеки.

Модифікована версія IntuitiveTables поводилася як звичайна, але перевіряла імена користувачів у файлах. За словами WolfSec, додаткове шкідливе ПЗ завантажувалося лише на пристрої гравців, чиї імена були у списку на інфраструктурі зловмисника. Це могло допомогти уникати виявлення антивірусними програмами та іншими користувачами.

Реакція покерних платформ

CoinPoker заявила, що почала перевірку підозрюваного гравця ще у 2025 році, заблокувала його та повернула постраждалим понад 100 тисяч доларів. ClubWPT Gold після оприлюднення інформації також заблокувала акаунт, із яким грав професіонал Майк, і відшкодувала йому втрати.

За даними співрозмовників видання, на платформах GGPoker і ACR зловмисник нібито міг викрасти від 1,5 до 4 мільйонів доларів. GGPoker 15 жовтня оголосила про заборону сторонніх інструментів, запровадження виявлення аномалій у виграшах і повідомила, що передала адреси криптогаманців правоохоронцям та профільним організаціям. ACR 18 жовтня заявила, що не виявила скомпрометованих результатів і не планує відшкодовувати кошти, водночас анонсувавши функцію захисту зображень карт від засобів віддаленого перегляду.