WeedHack MaaS : LoaderClient utilise des smart contracts Ethereum pour son infrastructure C2

🎯 Contexte

Publié le 24 juin 2026 par la Darkatlas Squad sur darkatlas.io, cet article présente une analyse technique complète de LoaderClient, le payload de stage-1 de la campagne WeedHack, un service de Malware-as-a-Service (MaaS) ciblant les joueurs Minecraft depuis janvier 2026.

🧩 Origine et évolution de la campagne

WeedHack est issu d’un stealer privé appelé Majanito (fin 2025), développé par un acteur utilisant le même pseudonyme. En début 2026, la base de code a été reprise et rebrandée en WeedHack, transformée en plateforme MaaS accessible sur le clearnet. Le namespace dev.majanito est préservé dans le code compilé du stage-2, confirmant la filiation. La campagne a enregistré plus de 116 000 compromissions uniques avec un rythme de 2 000 à 3 000 nouvelles infections par jour.

💰 Modèle MaaS

La plateforme propose :

• Tier gratuit : vol de sessions Minecraft, 36 navigateurs, 56 wallets crypto, tokens Discord/Telegram/Steam
• Tier premium à 5 $/mois ou 24,99 $ à vie : keylogger, webcam 25 FPS, partage d’écran 720p, shell distant, contrôle souris/clavier
• Plus de 850 opérateurs enregistrés sur Telegram

🔗 Vecteurs de distribution

• YouTube : vidéos polished de mods Minecraft avec liens malveillants en description
• SEO poisoning : faux portails de téléchargement imitant des clients open-source (Meteor Client, Wurst, Radium, LiquidBounce, Skytils)
• Faux mods Fabric : JAR malveillant nommé “Github” (mod ID: github, version 1.0.0)

⚙️ Chaîne d’exécution technique

Stage-1 (LoaderClient) :

• Exécuté via com.github.LoaderClient.onInitialize() au démarrage de Minecraft
• Vol des données de session : nom d’affichage, UUID, token OAuth Microsoft live
• Résolution C2 via EtherHiding : appel eth_call sur le contrat Ethereum 0x1280a841Fbc1F883365d3C83122260E0b2995B74 avec le sélecteur 0xce6d41de
• Vérification RSA-2048 (SHA256withRSA) de l’URL retournée
• Téléchargement et exécution entièrement en mémoire du stage-2 via un ClassLoader custom (IMCL)

Stage-2 (Module.jar) :

• Compilé avec JNIC v3.7.0 (Java Native Interface Compiler), logique métier en code natif
• DLLs natifs (x86-64 et AArch64) compressés LZMA2 et obfusqués ChaCha20 dans dac261f0-fd12-4fb9-9a32-6a945ac10c4c.dat
• Re-résolution C2 indépendante via le même contrat Ethereum
• Bypass UAC via CMSTP utilisant JNA Win32 API
• Bypass SSL (trust-all-certs X509TrustManager)
• DNS-over-HTTPS via classe CloudflareDNS (OkHttp3)
• Exfiltration via TelemetryHelper.initTelemetry()
• IMCL embarqué pour chargement d’un stage-3 en mémoire

🛡️ Techniques d’évasion

• Obfuscation de chaînes : cipher custom decS (k1=187, k2=67) produisant des identifiants Java Unicode non-ASCII
• Zip bomb : META-INF/README.txt, 442 MB décompressé (~663:1), contournant les scanners limités à 10 MB
• Exécution fileless du stage-2 (jamais écrit sur disque)
• Suppression console via relancement avec javaw.exe
• Fausse identité de mod avec fabric.mod.json légitime

📌 IOCs clés

• Contrat Ethereum (C2 anchor) : 0x1280a841Fbc1F883365d3C83122260E0b2995B74
• Domaine C2 actuel : fucktermedfir.st
• Domaine C2 précédent : whnewreceive.ru
• Stage-1 SHA256 : F91714F89616002C6C1411233470F58E74FAD7CB5A7DA6F77AA6082F5D2E8771
• Stage-2 SHA256 : E7D1346153B49CE403687BBD0DDBF1DB63DE6808D64EA2812EA48EF0CFE7CF2A

📄 Nature de l’article

Il s’agit d’une analyse technique approfondie (teardown binaire) publiée par une équipe de threat intelligence, visant à documenter la campagne WeedHack, fournir des IOCs actionnables et des règles YARA pour la détection.

🧠 TTPs et IOCs détectés

Acteurs de menace

• WeedHack (cybercriminal) —
• Majanito (cybercriminal) —

TTP

• T1566 — Phishing (Initial Access)
• T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059 — Command and Scripting Interpreter (Execution)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1027.009 — Obfuscated Files or Information: Embedded Payloads (Defense Evasion)
• T1620 — Reflective Code Loading (Defense Evasion)
• T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
• T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1568 — Dynamic Resolution (Command and Control)
• T1568.001 — Dynamic Resolution: Fast Flux DNS (Command and Control)
• T1573 — Encrypted Channel (Command and Control)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1528 — Steal Application Access Token (Credential Access)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1056.001 — Input Capture: Keylogging (Collection)
• T1113 — Screen Capture (Collection)
• T1125 — Video Capture (Collection)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
• T1102 — Web Service (Command and Control)

IOC

• IPv4 : 45.141.119.34 — AbuseIPDB · VT · ThreatFox
• Domaines : fucktermedfir.st — VT · URLhaus · ThreatFox
• Domaines : whnewreceive.ru — VT · URLhaus · ThreatFox
• Domaines : whpayment.ru — VT · URLhaus · ThreatFox
• Domaines : whreceive.ru — VT · URLhaus · ThreatFox
• Domaines : telemetrydata.to — VT · URLhaus · ThreatFox
• URLs : https://fucktermedfir.st/files/jar/module — URLhaus
• URLs : wss://remotev2.whpayment.ru/ws/client — URLhaus
• URLs : wss://remotev2.whreceive.ru/ws/client — URLhaus
• SHA256 : f91714f89616002c6c1411233470f58e74fad7cb5a7da6f77aa6082f5d2e8771 — VT · MalwareBazaar
• SHA256 : e7d1346153b49ce403687bbd0ddbf1db63de6808d64ea2812ea48ef0cfe7cf2a — VT · MalwareBazaar
• SHA1 : f7911f5be3d08da95dcda8afb1beb8e462376f9d — VT · MalwareBazaar
• MD5 : d991a7c9e2c3b269975404405a79adbc — VT · MalwareBazaar
• Fichiers : RuntimeBroker.exe
• Fichiers : Telemetry.exe
• Fichiers : WindowsRunetimeBroker.exe
• Chemins : %APPDATA%\Roaming\RuntimeBroker.exe
• Chemins : %APPDATA%\Roaming\Microsoft\Tlmtry\Telemetry.exe
• Chemins : %APPDATA%\Roaming\WindowsRunetimeBroker.exe
• Chemins : %TEMP%\lib*.dll

Malware / Outils

• LoaderClient (loader)
• WeedHack (framework)
• Module.jar (rat)

---

🟢 Indice de vérification factuelle : 95/100 (haute)

• ✅ darkatlas.io — source reconnue (Rösti community) (20pts)
• ✅ 66331 chars — texte complet (fulltext extrait) (15pts)
• ✅ 20 IOCs dont des hashes (15pts)
• ✅ 6/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 24 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : WeedHack, Majanito (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 45.141.119.34 (ip) → VT (9/91 détections) + ThreatFox (PureRAT)
• f91714f89616002c… (sha256) → VT (25/76 détections)
• e7d1346153b49ce4… (sha256) → VT (25/76 détections)
• fucktermedfir.st (domain) → VT (21/91 détections) + ThreatFox (Unknown malware)
• whnewreceive.ru (domain) → VT (18/91 détections)

---

🔗 Source originale : https://darkatlas.io/blog/loaderclient-malware-analysis-how-weedhack-uses-ethereum-smart-contracts-for-resilient-c2-infrastructure