Czy ten mod jest bezpieczny? Jak rozpoznać złośliwe mody do Minecrafta

Skąd pobierać mody

Najbezpieczniej pobierać mody z dwóch dużych serwisów, Modrinth i CurseForge, albo prosto ze strony projektu. Nasz katalog modów linkuje do stron na Modrinth, a krok po kroku instalację opisujemy w poradniku jak zainstalować mody.

Regulamin Modrinth zakazuje między innymi podszywania się pod inne osoby i projektów, które wysyłają dane na zdalny serwer bez jasnej informacji. Każdy projekt, wersję i użytkownika możesz tam zgłosić przyciskiem Report. Modrinth nie dopuszcza też cheatów, takich jak X-ray, aimbot czy latanie bez zgody serwera. Jeśli ktoś podsyła Ci "klienta z Modrinth" z takimi funkcjami, to już sygnał ostrzegawczy.

Żaden serwis nie jest jednak w pełni odporny. W czerwcu 2023 roku wyszło na jaw, że malware fractureiser trafiło do kilku projektów na CurseForge i BukkitDev, między innymi przez nieautoryzowaną aktualizację paczki Better Minecraft. Dlatego nawet z zaufanego źródła instaluj tylko to, czego naprawdę używasz.

Czerwone flagi

Jeden sygnał nie musi oznaczać malware. Kilka naraz to powód, żeby zrezygnować z pliku.

• Prośba o wyłączenie ochrony. Mod albo "darmowy klient" każe wyłączyć antywirusa, dodać wyjątek w Windows Defender albo zignorować ostrzeżenie. WeedHack sam dodawał wyjątki w Microsoft Defender, a według Dark Atlas gracze często brali ostrzeżenia antywirusa za fałszywy alarm.
• Link z Discorda, MediaFire albo opisu filmu. Według McAfee prawie połowa wykrytych złośliwych adresów w kampanii WeedHack to linki do Discorda (49,6%), a blisko co czwarty prowadził do MediaFire (23,4%).
• Strona prawie jak prawdziwa. Adres różni się literą albo domeną, a podróbka kopiuje logo, listę funkcji, FAQ, a nawet linki do prawdziwego repozytorium na GitHubie. Fałszywe strony klientów potrafią być w wyszukiwarce wyżej niż oryginały.
• Dziwna nazwa i brak historii. Moduł opisany przez Dark Atlas udawał niewinny mod Fabric o nazwie Github. Nowe konto autora, zero wcześniejszych wersji i brak kodu źródłowego to zły znak.
• Plik .exe zamiast .jar. Mody do Javy to pliki .jar. Instalator .exe albo archiwum z hasłem przy zwykłym modzie powinno zapalić czerwoną lampkę.
• Cheaty i darmowe kosmetyki. Kampanie takie jak WeedHack podszywały się pod popularne mody i klienty, także te do oszukiwania. To wygodna przynęta, bo na Modrinth takich plików nie znajdziesz.

Jak sprawdzić plik w VirusTotal

Zanim uruchomisz grę z nowym modem, wrzuć plik na virustotal.com. Serwis sprawdza go wieloma silnikami antywirusowymi naraz i pokazuje, które z nich coś wykryły. Discord poleca VirusTotal także do sprawdzania podejrzanych linków.

Kilka wykryć z nazwami typu Stealer, Trojan albo Agent to powód, żeby plik usunąć. Pojedyncze wykrycie o ogólnej nazwie może być fałszywym alarmem - wtedy sprawdź, czy ta sama wersja moda jest na Modrinth lub CurseForge.

Uwaga

Zielony wynik nie oznacza, że plik jest bezpieczny. Nowe odmiany malware przez pewien czas nie są wykrywane, a WeedHack potrafił wstrzykiwać złośliwy kod do prawdziwych modów. Jeśli źródło jest podejrzane, czysty wynik niczego nie zmienia.

Objawy infekcji

• Ktoś loguje się na Twoje konta: Minecraft, Discord, Steam, poczta - często kilka naraz.
• Znajomi dostają od Ciebie linki i wiadomości, których nie wysyłałeś.
• Antywirus jest wyłączony albo ma wyjątki, których nie dodawałeś.
• Komputer bez powodu zwalnia, a proces Javy działa w tle po zamknięciu gry. Jeden z odkrywców fractureisera zwrócił na niego uwagę właśnie przez nietypowe zużycie procesora i pamięci.
• Dioda kamery zapala się, choć nic jej nie używa.

Brak objawów nie oznacza, że wszystko jest w porządku. Program kradnący dane często nie zdradza się niczym widocznym, dlatego liczy się przede wszystkim źródło pliku.

Co zrobić po infekcji

1. Przestań się logować na zainfekowanym komputerze. Odłącz go od internetu, żeby nie wysyłał kolejnych danych.
2. Zmień hasła z innego, czystego urządzenia. Zacznij od poczty i konta Microsoft, potem Discord, Steam i reszta. Na koncie Microsoft użyj wylogowania ze wszystkich urządzeń - działa w ciągu 24 godzin, poza konsolą Xbox. W Discordzie zmiana hasła generuje nowy token, co odcina złodzieja.
3. Usuń mod i przeskanuj komputer. Pełne skanowanie uruchomisz w Zabezpieczeniach Windows (Ochrona przed wirusami i zagrożeniami → Opcje skanowania → Pełne skanowanie). Sprawdź też listę wyjątków antywirusa.
4. Rozważ reinstalację systemu. To najpewniejsza droga, bo płatna wersja WeedHack dawała przestępcom zdalny dostęp do komputera, a po takim ataku trudno mieć pewność, że nic nie zostało.
5. Zabezpiecz portfele kryptowalut. Jeśli trzymałeś portfel na tym komputerze, przenieś środki do nowego portfela utworzonego na czystym urządzeniu.
6. Zgłoś sprawę. Mod zgłosisz w serwisie, z którego go pobrałeś, a fałszywą stronę - do CERT Polska przez incydent.cert.pl.

Jeśli złodziej zdążył przejąć konto Minecraft, przejdź przez nasz poradnik jak odzyskać zhakowane konto. Zespół badający fractureiser przygotował też instrukcję sprawdzania i usuwania infekcji, dostępną również po polsku (tłumaczenie może być starsze niż oryginał).

Przykłady z 2026 roku: WeedHack i PixelReel

WeedHack

WeedHack to złośliwe oprogramowanie sprzedawane jako usługa, aktywne od stycznia 2026 roku. Według raportu McAfee Labs z czerwca 2026 roku podszywało się pod klienty i mody. Badacze naliczyli ponad 3820 unikalnych złośliwych plików JAR i ponad 240 adresów URL, z których je rozsyłano. Atak celował w wersje od 1.21.0 do 1.21.11 i rozchodził się przez YouTube oraz fałszywe strony podbijane w wynikach wyszukiwania.

Darmowa wersja kradła identyfikatory sesji Minecrafta, ciasteczka i hasła z przeglądarek, portfele kryptowalut oraz dane logowania do Discorda, Steama i Telegrama. Płatna dodawała między innymi podgląd kamery, keylogger i zdalne sterowanie. Firma Dark Atlas, która przeanalizowała jeden z modułów, podała, że do czerwca 2026 roku kampania zanotowała ponad 116 tysięcy zainfekowanych urządzeń.

W sierpniu 2026 roku McAfee informowało, że kampania trwa dalej: w ciągu miesiąca zablokowało ponad 6300 prób wejścia na fałszywe strony, a złośliwe pliki trafiały też na Planet Minecraft i EndMods. Więcej w naszym newsie WeedHack wciąż krąży w fałszywych klientach.

PixelReel

PixelReel pokazuje inne ryzyko: mod nie musi być złośliwy, żeby narazić Twoje dane. To mod z sierpnia 2026 roku, który wyświetla na ekranach w grze filmy z serwerów multimediów Plex, Jellyfin, Emby i Tunarr, więc potrzebuje do nich kluczy API. W wersji 2.0.0 obraz idzie przez serwer pośredniczący, a klucze - jak zapewnia autor na CurseForge - zostają na serwerze Minecrafta i nie trafiają do graczy.

Autor sam ostrzega, że wyciek klucza przy otwartym porcie serwera multimediów oznacza dostęp do całej biblioteki. Radzi więc łączyć mod z kontem bez uprawnień administratora i nie wystawiać serwera multimediów do internetu. Szczegóły zgłoszenia opisaliśmy w newsie o PixelReel. Przy każdym modzie, który łączy się z Twoimi usługami, czytaj opis i instaluj aktualizacje.

Źródła

• Mods for Minecraft: Java Edition (help.minecraft.net)
• Content Rules (modrinth.com)
• fractureiser - raport zespołu badawczego (github.com)
• Game Over: WeedHack - The Rise of Minecraft Malware-as-a-Service Campaigns (McAfee Labs, czerwiec 2026)
• LoaderClient malware analysis (darkatlas.io, 24 czerwca 2026)
• WeedHack Returns: How SEO Poisoning is Leading Minecraft Fans to Malware (McAfee Labs, sierpień 2026)
• PixelReel (curseforge.com) i repozytorium projektu (github.com)
• Protecting users from scams on Discord (discord.com)
• Tips to Prevent Spam and Hacking (discord.com)

Przydatne linki

• Bezpieczeństwo w Minecraft - wszystkie poradniki z tej sekcji
• Zhakowane konto Minecraft - jak odzyskać i zabezpieczyć konto
• CurseForge po polsku - jak korzystać z serwisu i aplikacji
• Prism Launcher - legalny launcher do modów