Eric Parker ha svelato uno schema di infezione dei PC tramite mod di Minecraft: cosa deve sapere ogni giocatore

Se giochi a Minecraft con le mod, questo articolo è per te. L’esperto di cybersicurezza Eric Parker ha pubblicato un’analisi dettagliata di diversi schemi di compromissione dei computer mirati proprio ai giocatori di Minecraft Java Edition. La minaccia è reale, ampia e, cosa ancora più preoccupante, quasi invisibile a prima vista.

Chi è Eric Parker e come ha scoperto lo schema

Eric Parker è un ricercatore nel campo della sicurezza informatica che gestisce un popolare canale YouTube, dove spiega minacce cyber reali con un linguaggio semplice e chiaro. In passato aveva già segnalato mod malevoli diffusi tramite CurseForge e Modrinth. Questa volta Parker ha pubblicato un’analisi dettagliata di due nuovi schemi di attacco rivolti ai giocatori di Minecraft. I due casi hanno un punto in comune: i malintenzionati sfruttano con grande abilità la fiducia della community verso strumenti familiari — mod e server.

Primo schema: vulnerabilità in Litematica

Il 6 luglio 2026 è emersa una vulnerabilità critica nel popolare client mod Litematica, usato da milioni di giocatori per lavorare con gli schematici. Il problema riguarda tutte le versioni del mod per Minecraft 1.21 e successive.

Il punto centrale della vulnerabilità è l’assenza di verifica dei dati in ingresso quando si ricevono file dal server. Quando un giocatore entra in un server infetto, questo avvia il trasferimento di un file spacciato per un normale schematico. Il client accetta i dati senza alcuna verifica e senza limiti al percorso di scrittura. Di conseguenza, il file malevolo può finire in qualsiasi cartella del disco, comprese le directory di sistema e le cartelle di avvio automatico.

Se il file scritto è eseguibile, si verifica l’esecuzione remota di codice arbitrario (RCE). Inoltre, la vulnerabilità funziona anche senza la presenza del mod correlato Servux sul server: basta un singolo pacchetto di dati appositamente creato. Gli sviluppatori hanno già rilasciato una patch, ma gli utenti che non hanno aggiornato la propria installazione restano a rischio.

Secondo schema: il mod QualityCraft e un resource pack malevolo

Il secondo schema è ancora più sofisticato, sia dal punto di vista sociale sia tecnico. Tutto inizia su Discord: agli utenti viene proposto di testare un nuovo server di gioco e, per farlo, di installare il mod QualityCraft dalla piattaforma CurseForge. Il mod appare del tutto legittimo e supera senza problemi la moderazione automatica, perché nella fase di installazione non compie davvero alcuna azione malevola.

La trappola si attiva più tardi. Quando il giocatore si collega al server bersaglio, gli viene proposto di scaricare il resource pack del server. In una versione pulita del gioco, questo pack è completamente innocuo. Ma se QualityCraft è presente, avvia una catena di esecuzione nascosta:

• Dal resource pack viene estratto codice nascosto oltre l’intestazione standard dell’archivio
• Vengono eseguiti script VBScript
• Viene scaricato il file di comando update.bat e subito dopo la reverse shell rev.bat
• Sul computer vengono installati i trojan di accesso remoto Quasar RAT e PureHVNC, oltre a un programma per rubare password

Al momento della scoperta, Windows Defender reagiva debolmente alla minaccia: l’attività malevola è distribuita in più fasi di download, il che rende il rilevamento molto più difficile.

Cosa perdono i giocatori

Le conseguenze dell’infezione sono estremamente gravi:

• Furto di dati: cookie del browser, password salvate, token Discord, password Wi‑Fi
• Perdita degli account: tutte le informazioni rubate vengono inviate automaticamente ai criminali tramite webhook di Discord
• Accesso remoto completo al PC: screenshot dello schermo, gestione dei file, attività nascoste nell’Utilità di pianificazione di Windows

Se hai installato QualityCraft e scaricato un resource pack da un server sospetto, si consiglia di controllare l’avvio automatico con l’utility Autoruns oppure di eseguire una reinstallazione completa del sistema. I file malevoli hanno nomi fissi (per esempio WidgetService.exe), il che ne facilita la ricerca.

Conclusione: la vigilanza è la miglior difesa

I due schemi hanno una cosa in comune: sfruttano non solo vulnerabilità tecniche, ma anche la fiducia dei giocatori. I malintenzionati si comportano in modo amichevole, conquistano la fiducia con pazienza e agiscono per fasi — ed è proprio per questo che sono così difficili da individuare.

Aggiorna le mod, non installare software su richiesta di sconosciuti su Discord e segui le notizie sulla sicurezza — come le analisi di Eric Parker.

Ti è mai capitato di imbatterti in mod o server sospetti? Raccontalo nei commenti — cerchiamo di capirlo insieme.