Прочее компьютерное

Есть ли в TLauncher'е вирусы и майнеры?

Еще давно слышал, что в TL нашли 3 трояна и Майнер но так и не нашел нормального подтверждения или опровержения на этот счет, я бы хотел задать вопрос здесь. Если что говорю я не про TL Legacy а про TLauncher и есть ли в TLauncher вирусы?
Про фейковый и оригинальный TL (ныне TLauncher и TL Legacy) в сети действительно ходят симметричные обвинения во вредоносности. Обусловлены они плохой осведомлённостью людей в истории развития лаунчеров и ходе событий, а также собственным нежеланием детально разобраться в ситуации.

Я давно хотел собрать имеющиеся у меня данные и факты и объединить их в один ответ, чтобы расставить все точки над ї. Но информации получилось так много, что даже в сжатом виде не хватает лимита символов, поэтому продолжу в комментариях.

Историю этих лаунчеров я в общих чертах описывал здесь (осторожно, там указана ныне отжатая у владельца ссылка) и более подробно здесь . Однако на вредоносных свойствах я в то время особо не акцентировал внимание.

Начнём с того, что оригинальный TL имеет открытый исходный код ( tlaun.ch/source ), и любой желающий может убедиться в его чистоте. Чего не скажешь о фейке — он хоть и основан на старых исходниках TL, но раскрывать свою "тёмную сторону", разумеется, не будет. А скрывать ему есть что.

Троянское поведение и раньше было характерно этому лаунчеру — в статье Игоря Фромгейта (официальный переводчик Minecraft) эти события засветились как история с подменой системного hosts. Это приводило к накрутке посещаемости его сайта и блокировке неугодных: Про существование майнера — я не раз встречал тут вопросы со странным поведением фейкового TL ( пример ), где упоминалась аномально высокая нагрузка на ПК с его стороны. Позже нашёл объяснение в дискорде TL Legacy — в то время к ним по ошибке обращались пользователи фейка и буквально закидывали жалобами о том, что лаунчер сильно грузит процессор.

Тогда появилось предположение, что с компьютеров пользователей фейка проводятся ботнет-атаки, которые позже подтвердились владельцами серверов. Об этом и сейчас можно осведомиться в дискорде оригинального TL (tlaun.ch/discord).

Но это не всё. Спустя время я нашёл пост на реддите, где парень запускал TLauncher в виртуальной песочнице для проверки на вшивость, слушал трафик и копался в коде лаунчера. В результате обнаружил, что фейк под видом обновления создаёт временный exe'шник и использует его для отключения защиты в реальном времени у установленных антивирусов:[Продолжение ниже]
Александр Куцовол
Александр Куцовол
35 388
Лучший ответ
Александр Куцовол Что характерно для компрометирующих лаунчер исследований, этот пост вскоре был удалён. Причём, вместе с аккаунтом его автора. Хорошо, что реддит лишь скрывает посты, и он по прежнему доступен по прямой ссылке и в веб-архиве .

В дискорде TL всё это тоже обсуждалось:
Александр Куцовол Может возникнуть логичный вопрос: почему же на опен-сорсный TL Legacy антивирусники иногда ругаются, а фейк со всеми его вирусами обходят стороной? Всё просто — цифровая подпись. Обладание ею позволяет вашей программе обходить проверки большинства антивирусов. И да, она выдаётся не "за спасибо". У TL Legacy её нет, а фейку с его многомиллионными доходами от подконтрольных владельцам серверов купить ЦП было нетрудно.

К слову, некоторые антивирусы даже несмотря на цифровую подпись честно проверяют программы. DrWeb, например. Эти ребята в курсе всей ситуации с вшитым трояном, и уже давно добавили домен фейка в блэклист: И в дискорде оригинала, и даже здесь я встречал тому подтверждения.
Александр Куцовол А вообще, фейковый TL не просто так защиту в реальном времени отключает. Вот как он скрытно докачивает вредоносные модули уже в процессе использования:Неплохо так для лаунчера, и без того наполненного собственной рекламой и "п̶р̶е̶м̶и̶у̶м̶"-функциями едва ли не по цене лицензии, не так ли?

В общем, свидетельств вредоносности TLauncher, фейка TL Legacy, предостаточно. В прошлом ещё было много шума насчёт того, что этот лаунчер ворует лицензии. И действительно, лаунчер хранил данные авторизации просто в виде текста и даже никак не шифровал их. Из-за чего любой сторонний троян мог считать и украсть эти данные у вас.
Александр Куцовол Правда, уж слишком часто "утекали" лицензии. Даже у моей знакомой угнали однажды. Есть все основания полагать, что лаунчер сам их втихую сливал магазинам аккаунтов для перепродажи по 5 рублей, коих раньше было много. Благо, сейчас эту лавочку мелкомягкие прикрыли, так как теперь вход через Microsoft-аккаунт из браузера возвращает максимум токены авторизации, которые бесполезны для перепродажи и повторного входа.

Кстати, о скинах. В фейковом TL их работа реализована очень тупо, за счёт отдельного мода "TL_Skin_Cape", который вместе с вшитым в "Updater" вирусом повторно скачивается при каждом запуске и при всём желании не может быть удалён пользователем (о процессе заражения через якобы Updater можно прочитать здесь или на скриншоте выше). Мало того, что этот мод конфликтует с другими,...
Александр Куцовол ... так ещё и конфликтует с официальной системой скинов — скины ваших друзей с лицензией играя через фейк TL вы просто не увидите, он их скроет. Это выглядит особенно тупо на фоне того, что в том же оригинале используется безопасный метод с подменой AuthLib (по системе Ely.by ), но если в "Ёлке" в случае конфликта скина на лицензии и на пиратке можно легко решить эту проблему через подачу апелляции (Ely уважает права игроков с лицензией), то в поддержке фейка (коротая работает через ВК 0_0) с аналогичным вопросом меня тупо забанили... Уже когда-то этот случай здесь упоминал, но сколько ни пытался по истории ответов найти те скриншоты переписки, не нашёл.

Если однажды обнаружу тот ответ — обязательно его сюда скину. В общем, распространяйте эту инфу, защитите других от "Империи TLauncher".
Александр Куцовол В продолжение темы с "аномальной нагрузкой: https://otvet.mail.ru/question/229124683
Vahob Muydinov Я дополню небольшой своей историей, когда ещё не знал о том что фейк вредоносен.
Как-то купили рекламу на сервер у фейка, через 2-3 часа зашёл некий игрок и каким-то образом получил доступ к самому серверу.
При том что скорее всего рекламы(которую мы купили) в тдаунчере ещё и не было.
Вывод: Что-то тут не чисто
Александр Куцовол Решил собрать живые примеры подозрительного поведения фейкового TL.
  • Вредоносное поведение:
    https://otvet.mail.ru/question/229199538
    https://otvet.mail.ru/question/229124683
    https://otvet.mail.ru/question/229222070
    https://otvet.mail.ru/question/231407816
  • Нарушение работы официальной системы скинов Mojang:
    https://otvet.mail.ru/question/229134722
    https://otvet.mail.ru/question/229063438
    https://otvet.mail.ru/question/231405846
  • Нарушение загрузки ресурсов игры:
    https://otvet.mail.ru/question/229110191
    https://otvet.mail.ru/question/231287151
    https://otvet.mail.ru/question/231355102
    https://otvet.mail.ru/question/231395166
На самом деле случаев встречал гораздо больше, но и этого уже предостаточно.
Черников Александр Спасибо вам большое... Хотел скачивать данную программу, так как надоело постоянно скачивать с сайтов моды. Помню раньше пользовался. Ваше расследование полностью отбило желание как-то связываться с ТЛаунчером. Не хотел бы портить новый компьютер. Еще раз большое вам спасибо. Удачи в продолжении вашей борьбы.
. Bmw . Пользовался им около года, хочу теперь удалить его но я думаю простом способом от него теперь не исбавиться, можно ли его удалить без сноса винды? У меня на компьютере есть важные данные которые я бы не хотел потерять
Александр Куцовол Нашёл крайне интересный выпуск одного испанского испанского ютубера:
https://youtu.be/xB3iwwpYiGM
Тут всё на испанском, но через субтитры или перевод Яндекса вполне смотрибельно/слушабельно.

Кратко перескажу основные пункты, потому что тут новая и крайне важная информация:

• В Испании шумиха дошла "до уровня газет" — какие-то известные журналы у них, видимо, поверхностно осветили тему.
• Из-за желания разобраться, автор обратился к двум кодерам, инженеру и эксперту по кибербезопасности, дальше он говорит от их имени.
• Упоминается история развития всей шумихи. Тут становится ясно, что это полностью независимое от наших локальных исследований видео, а затравкой послужил вышеупомянутый пост на реддите от парня, у которого смартскрин ругнулся на скачанную лаунчером Java.
Александр Куцовол • Идёт разбор известных претензий к коду, которые упоминал MisterEpic. TLauncher (далее "фейк") проверяет версию Windows, "вероятно, для установки своих собственных обновлений". Ресет Winsock — " вероятно, фикс соединения с интернетом".
• Фейк действительно использует левые источники для загрузки Java и самого Minecraft, а также Forge и Fabric (хотя у нас это и так всем давно было известно).
• Фейк использует dns CloudFlare для изоляции своего соединения.
• Фейк содержит модуль чтения папок браузеров. И сандбокс это прям наглядно показывает.
• Всю вторую половину идёт разжёвывание того, как работают антивирусы и почему даже гиганты вроде касперского на фейк не реагируют.
Упоминается и то, что фейк вполне может загрузить малварь спустя неопределённое время после установки.
Александр Куцовол Подытоживается это всё тем, что антивирусники на классическом сравнении шаблонов поведения программ по базам вирусных сигнатур — фигня полнейшая, которую можно обойти даже обычным «а͟р͟х͟и͟в͟о͟м͟ ͟с͟ ͟п͟а͟р͟о͟л͟е͟м͟ ͟1͟2͟3͟4͟».
И тут знающие люди уже насторожились, ведь именно такой архив с установщиком якобы Яндекс.Браузера загружает фейк в процессе своей установки... Только пароль там — единичка. И да, это именно тот установщик, который сильнее всего светится на VirusTotal.
Александр Куцовол Причём, ругаются на его весьма именитые антивирусники, такие как проверка гугла, а не просто китайские ноунеймы.

Заканчивается разбор тем, что "я использовал бесплатную версию песочницы, и для точного подтверждения моего прогноза надо проводить реверс-инжиниринг кода, либо договариваться с гигантами о предоставлении софта. У TLauncher есть все признаки стиллера." (и перечисляются озвученные ранее факты считывания юзердаты и браузеров, создание изолированного соединения и т.п.).

Так что, будьте осторожны с тем, что используете. Своей информационной безопасностью лучше не рисковать.
Нет там их, конкуренты создавали лишь слухи. Код спокойно можно разобрать и посмотреть. Но Тлаунчер все равно хрень, создавать платную систему аккаунтов по цене фактической лицензии майнкрафта сродни болезни.
FT
Farxod Taxirov
8 523
Farxod Taxirov я лучше заплачу чуть больше и куплю лицензию, чем непонятно что от левого ланучера.
Александр Куцовол Но ладно бы они просто моды воровали, для них это дело привычное ещё со времён ру-м.орг, но ведь они воруют деньги у авторов этих модов. Некоторые авторы живут на деньги, которые им приходят за скачивания из официальных источников, а система Тдаунчера их лишает этого.
Александр Куцовол Думаю, пруфов достаточно :)
Довольно спонтанно описал, надеялся это в виде ответа оформить, но что-то при общении в комментариях у меня мысль лучше идёт. Могу всё это скомпилировать в ответ, если хочешь, и если это имеет смысл.
Александр Куцовол А вообще, информацию трудно находить и собирать ещё и потому, что с самого своего появления фейковый TL оперативно "чистит" интернет от компромата на себя и всячески пытается изжить оригинал. Так, ролик neSmartu о том, что фейк — это фейк (с пруфами на основе дат публикации) был застрайкан аж 3 раза (три, Карл!) и в конце концов удалён по причине "получение полного доступа к игре". Стоит напомнить, что страйки ютуб просто так не выдаёт, для этого обязательно должны быть жалобы. А если ознакомиться с его видео " итог по Tlauncher ", то станет понятно, кто их подавал.
там майнер и три трояна.
Так что удаляй этот фейк тдаунчер и скачивай оригинал tl legacy
Виталий Чурсин Там нету вирусов, это все заблуждение от конкурентов, уже 4 года играю в тлаунчер но пк ни как почти не изменился, ни лагал, не ломался и т.д.Играйте спокойно не скачивайте клоны тлаунчера по типу МК.ЛАУНЧЕР и т.д
Александр Кучуков удаляй этот фейк и скачивай оригинал Tl legacy.
в оригинале нет рекламы и вирусов.
лучше работает с ОЗУ.
удобная система скинов(а не как в орговском с помощью мода).
Помогают с крашами в дискорде.
Александр Кучуков и рекламу в легаси можно отключить а в org она постоянно мелькать будет.
Нету там вирусов. Данный лаунчер давно разобрали и полностью проверили. Не слушайте детей которые не разбираются в данной ситуации. Если бы там хоть что-то было, то давно бы этого лаунчера не было.
Alex Shilov Вот именно разоблачили и доказали что есть
https://m.youtube.com/watch?v=9H7FU_1Zb8g
Человек, который почти 10 лет им пользуется скажу то что их там нет у меня на пк не было не разу такого что зависал или нагружался иза TL сейчас, конечно, сказать не могу.
JJ
Jony Jakson
367
там есть вирусы (странно что я не словил вирусы когда играл на этом лаунчере)
, .
, .
180
Сергей Шиманский там 3 майнера
Виталий Чурсин Там нету вирусов, это все заблуждение от конкурентов, уже 4 года играю в тлаунчер но пк ни как почти не изменился, ни лагал, не ломался и т.д.Играйте спокойно не скачивайте клоны тлаунчера по типу МК.ЛАУНЧЕР и т.д
Там нету вирусов, это все заблуждение от конкурентов, уже 4 года играю в тлаунчер но пк ни как почти не изменился, ни лагал, не ломался и т.д.Играйте спокойно не скачивайте клоны тлаунчера по типу МК.ЛАУНЧЕР и т.д імбір
Александр Кучуков ты вообще понимаешь что ты советуешь людям ставить вирус?
Почитай подлинную историю тлаунчера и все поймешь.
Александр Кучуков а орговский это клон
Александр Кучуков так что качай ТЛ ЛЕГАСИ
Нет, tlauncher сотрудничает с mojang это во первых. А во вторых я играю только на этом лаунчере, всегда и сейчас играю. Вирусов не будет если скачаешь с официального сайта tlauncher.org
Олег Саверченко Хахахахах, почитай ответы под моим постом. Тлаунчер сотрудничает с Mojang? Не смеши)
нет там не было вирусов
Привет, там есть вирусы вирус тотал их не детектит иза забыл чего
Вирусы есть.... Обьяснение: Антивирус не дэтэктит (даже каспер) это ка вредоностное по потому что на всей этой херне стоит дорогая цифровая не оригинальная подпись и осталось 3 слова: СНОСИ ЕГО НАХЕР!!!!!!!!(кста майнера нет но есть хрень которая при запуске лаунчера ддосит пк с ай пи адреса)(и в нём есть троян)
Adilbek Bisengaliev
Adilbek Bisengaliev
106
Алексей Орлов Смешно, подписать можно что угодно, только детектов не убавится
Alex Shilov Как раз таки убирается потому что места и программы в которых есть лицензионная подпись а не пропускать с антивирусами при проверке так как они считаются достоверными файлами
Никаких там вирусов нет, и не стоит верить детям, которые услышали бред от конкурентов и разнесли по всему интернету. Я играю на нем как минимум 2 года и ничего с моим ноутбуком не произошло.
вирусы будут лишь если ты устанавлеваешь с яндексом
Там однозначно есть вирусы в модах, шейдарах, и т. д. Это я поверил эксперементом. Раньше я играл с шейдером и ресурспаком, но потом стали происходить ошибки. Далее спустя месяцы я узнал, что в ранее упомянутом могут быть вирусы, и я попробовал всё поставить в ручную. Всё теперь в порядке и я спокойно насладился игрой в красивый майнкрафт.
срочно удали
!!!!
Александр Ширшов всем привет .... блчяяяя чё я хотел сука..... АААААА тлауччер топ!!!! скачавай срочно!!!!