В покерном комьюнити расследуют одну из самых серьёзных мошеннических схем последних лет. На компьютерах игроков высоких лимитов обнаружили программу удалённого доступа Mesh Agent, которая позволяла злоумышленникам видеть происходящее на экране — в том числе карманные карты во время игры. Под подозрением оказались несколько аккаунтов, а предполагаемый ущерб может исчисляться миллионами долларов. Разбираемся, что известно к этому моменту и как мошенников удалось обнаружить.
История получила огласку в русскоязычном покерном комьюнити после сообщения с призывом проверить компьютеры на наличие Mesh Agent — программы для удалённого доступа. Следы программы к тому моменту уже обнаружили у нескольких игроков высоких лимитов. Пост быстро вызвал бурное обсуждение, а вскоре начали появляться подробности: оказалось, что подозрения в нечестной игре возникли задолго до этого, а некоторые регуляры уже несколько месяцев пытались разобраться в происходящем.
Вскоре об истории заговорило и зарубежное покерное сообщество. Специалист по кибербезопасности под ником wolfsec0x0 сообщил, что заражёнными могли оказаться около 30 компьютеров игроков высоких лимитов. По его данным, атаки продолжались как минимум с 2024 года.
Сам по себе Mesh Agent — не покерный чит и вообще не обязательно вредоносная программа. Это компонент системы удалённого управления MeshCentral, который позволяет подключаться к другому компьютеру и управлять им. Проблема начинается, когда такой доступ получают без ведома владельца.
Microsoft Security Intelligence описывает вредоносное использование Mesh Agent как бэкдор: после установки злоумышленник может удалённо управлять устройством, запускать команды, получать доступ к данным и сохранять постоянное подключение к системе. Использование легитимного инструмента при этом затрудняет обнаружение такой активности.
В случае с покером возможности для мошенничества получались почти идеальными. Злоумышленник мог видеть экран заражённого компьютера в реальном времени — а значит, и карманные карты игрока за столом. Причём потенциально доступ не ограничивался покером: под угрозой могли оказаться сохранённые в браузере пароли, файлы, платёжная информация и другие данные.
Но если сам Mesh Agent удалось обнаружить, то вопрос о том, как именно он оказался на компьютерах игроков, до сих пор остаётся открытым. К нему вернёмся чуть позже, а пока разберёмся, как вообще возникли подозрения в нечестной игре.
По информации телеграм-канала A-Game, внимание привлекли результаты одного из игроков и очень специфический выбор соперников. Более 90% его раздач приходились на определённую группу регуляров. Именно против них он показывал аномально хорошие результаты и регулярно находил крайне точные решения.
Глеб Ковтунов рассказал, что подозревал канадца Пола Грегга в нечестной игре ещё с апреля. По его словам, складывалось впечатление, что соперник практически не способен проиграть ему крупный банк и постоянно выбирает идеальные линии и сайзинги.
Месяц назад Глеб рассказал о своих подозрениях в закрытой группе хайстейкс-игроков. Через два дня Грегг перестал появляться за столами. А затем на компьютере самого Ковтунова обнаружили Mesh Agent.
Аналогичные следы нашли и у других игроков, которые много проигрывали предполагаемому мошеннику. При этом на некоторых компьютерах сам Mesh Agent уже был удалён, однако следы его работы сохранились.
- Почему же всё это так долго не замечали службы безопасности румов?
Если мошенник действительно видел карты не благодаря уязвимости покерного клиента, а непосредственно на компьютере соперника, с точки зрения самого рума за столом могло не происходить ничего очевидно невозможного. Игрок принимал решения со своего аккаунта, а информацию о картах получал извне — с заражённого устройства жертвы.
Кроме того, судя по рассказам пострадавших, злоумышленник старался не пользоваться своим преимуществом слишком очевидно. Он мог проигрывать небольшие банки и выбирать линии, которые не выглядели так, будто ему известны карты соперника. Это также объясняет, почему схема могла работать достаточно долго.
Вопросы к Полу Греггу, судя по всему, возникали и раньше. По словам Патрика Леонарда, аккаунт на имя Пола был заблокирован на CoinPoker примерно два года назад за серьёзное нарушение правил. Тогда конфисковали около $100 000 и распределили деньги между пострадавшими игроками. Что именно обнаружила служба безопасности, публично не раскрывалось.
При этом нынешнее расследование может касаться не одного человека. Участники хайстейкс-комьюнити допускают, что за схемой стояла группа: заражение нескольких десятков компьютеров, поиск конкретных целей и длительная эксплуатация такого доступа требуют довольно серьёзной организации.
- А теперь к главному открытому вопросу — как Mesh Agent попал на компьютеры игроков?
В первых сообщениях появилась версия, что источником мог быть сторонний покерный софт: трекеры, программы для рассадки и тейбл-селекта. Упоминалась в том числе Intuitive Tables. Среди других возможных способов заражения назывались фишинговые письма и поддельные сайты.
Однако доказательств того, что какая-то конкретная программа была источником заражения всех пострадавших, пока нет. Более того, Ковтунов сообщил, что некоторого подозреваемого софта на его компьютере вообще никогда не было, хотя Mesh Agent у него обнаружили. Поэтому способов заражения могло быть несколько — либо общий источник пока просто не найден.
Схожую осторожность проявляет и автор англоязычного расследования wolfsec0x0. По его словам, речь идёт о сторонних инструментах, а не о самих покерных клиентах. Названия разработчиков он пока не раскрывает, поскольку они участвуют в расследовании. Он также утверждает, что актуальные версии подозреваемого софта больше не распространяют вредоносный код. Поэтому делать вывод в духе «игроков заразили через программу X» сейчас рано.
Неясен пока и масштаб ущерба. В русскоязычном комьюнити речь идёт о нескольких миллионах долларов, проигранных заражёнными регулярами. Отдельные публикации оценивают результат связанных аккаунтов примерно в $2 млн за несколько лет. Окончательной подтверждённой суммы при этом нет — как нет пока и полного списка пострадавших и связанных со схемой аккаунтов.
История ещё далеко не закончена. По информации из покерного комьюнити, собранные материалы уже переданы службам безопасности румов и правоохранительным органам. Участники расследования изучают логи Windows, историю раздач, подключения Mesh Agent и возможные способы первоначального заражения.
Комментарии 0