Malware em softwares de poker expõe cartas e dados de jogadores high stakes

O segmento de poker online high stakes foi colocado em alerta depois que o perfil @wolfsec0x0, que se apresenta como especialista em segurança cibernética, publicou no X, em 29 de setembro, uma denúncia apontando a presença de um agente de acesso remoto em máquinas de jogadores profissionais. Segundo o relato, aproximadamente 30 usuários — concentrados principalmente na Europa, América do Norte e Oceania — poderiam ter sido afetados por versões comprometidas de softwares de terceiros, com atividade que teria se iniciado em 2024.

O agente identificado na denúncia é o Mesh Agent, componente associado ao MeshCentral, uma ferramenta legítima de gerenciamento remoto. Quando instalado de forma maliciosa, o programa permite visualizar a tela do computador em tempo real, controlar mouse e teclado, executar comandos e transferir arquivos. A própria Microsoft classifica o Trojan:Win32/MeshAgent como um backdoor capaz de oferecer controle remoto sobre dispositivos comprometidos e manter acesso persistente ao sistema. Para o poker online, a implicação mais grave é direta: um terceiro com acesso à tela durante uma partida com dinheiro real poderia visualizar as cartas fechadas exibidas pelo cliente do jogo. Além disso, senhas salvas em navegadores, cookies de sessão e dados de cartões armazenados também estariam potencialmente expostos.

Na publicação original, @wolfsec0x0 deixou claro que GGPoker e ClubWPT Gold não estavam envolvidos no incidente, e o jogador profissional Todd Witteles reforçou no X que a ferramenta comprometida seria um recurso de terceiros, sem relação com os programas oficiais das salas. Relatos posteriores passaram a apontar Jurojin Poker e IntuitiveTables entre as ferramentas afetadas. A Jurojin confirmou publicamente que seu sistema de distribuição de atualizações foi comprometido: um invasor teria obtido acesso a credenciais e ao painel administrativo responsável pela entrega de determinados pacotes, permitindo que versões alteradas chegassem a grupos específicos de usuários. A empresa ressaltou, porém, que nem todo pacote alterado continha o agente remoto e que nem todos os usuários afetados chegaram a instalar uma versão comprometida. Segundo @wolfsec0x0, as versões atuais dos softwares envolvidos já não distribuiriam o código malicioso.

A investigação pública ainda não determinou com precisão quantos computadores foram comprometidos nem por quanto tempo o acesso remoto permaneceu ativo em cada máquina. É igualmente necessário separar o incidente de segurança — a presença do malware — de eventuais acusações de trapaça que surgiram na comunidade: a existência do agente remoto, por si só, não comprova que informações privilegiadas tenham sido utilizadas em mesas de poker, e não foi estabelecida ligação definitiva entre todas as vítimas identificadas e qualquer operador específico.

Diante do episódio, pesquisadores envolvidos na apuração divulgaram uma série de recomendações para jogadores que suspeitam de comprometimento: preservar evidências antes de apagar arquivos, alterar credenciais a partir de outro dispositivo confiável, encerrar sessões ativas e habilitar autenticação em dois fatores. Também é recomendável evitar instalar programas de suposta detecção ou correção recebidos por mensagens privadas, fóruns ou canais não oficiais. O caso evidencia os riscos associados ao uso de softwares auxiliares — ferramentas de gerenciamento de mesas, rastreamento de resultados e similares — em computadores utilizados para jogar poker com dinheiro real, e coloca em pauta a necessidade de maior atenção à cadeia de software adotada por jogadores profissionais. A comunidade aguarda novas evidências técnicas sobre a extensão do incidente e eventuais posicionamentos formais das salas de poker.