Mesh Agent на ПК покеристов: чужие карты видели через легитимный софт

29 сентября 2026 исследователь под ником WolfSec0x0 (киберспециалист, который публиковал разбор в открытом доступе) написал: на Windows-компьютерах примерно 10-30 хайстейк-игроков в онлайн-покер без их ведома стоял Mesh Agent. Это не «вирус с торрента», а агент MeshCentral - открытой программы, которой IT-отделы легально управляют чужими ПК. Его подсунули через скомпрометированные обновления сторонних утилит для мультитейблинга (игры сразу за несколькими столами). Румы вроде GGPoker (крупный онлайн-покер-рум) серверы не взламывали: смотрели экран жертвы и её закрытые карты прямо во время раздачи. Это касается любого, кто ставит «удобный» трекер столов и держит на том же ПК пароли, сессии и деньги.

Что именно нашли на компьютерах

Mesh Agent ставился как служба Windows с системными правами, прятал файлы и мог обходить проверки Microsoft Defender за счёт исключений в каталогах. Оператор видел экран в реальном времени, мог двигать мышь и клавиатуру. В покере это значит: знать дыры соперника, пока рука ещё идёт. По оценке WolfSec0x0, заражение целенаправленное: дополнительные файлы качались только на машины людей из заранее составленного списка ников. География - Европа, Северная Америка, Океания. Самые ранние следы датируют мартом 2024, на части ПК агент жил больше года.

Незадолго до публикации разбора оператор начал сам снимать агента удалёнными скриптами. Поэтому простой взгляд в Диспетчер задач мог ничего не показать. Это не массовая эпидемия среди любителей микролимитов: били тех, у кого за столом крутятся серьёзные банки.

Как агент попал на машины

Два популярных инструмента для выбора и раскладки столов подтвердили компрометацию: Jurojin Poker и IntuitiveTables. По заявлению Jurojin, с июня 2025 по июнь 2026 злоумышленник периодически подменял пакеты обновлений для узкой группы пользователей; в части пакетов был удалённый доступ. Последний заражённый пакет разослали в июне 2026. IntuitiveTables тоже признала взлом и заявила, что актуальные сборки уже чистые. Ни одну компанию не обвиняют в сговоре: типичная история цепочки поставок, когда доверяешь подписи вендора.

Сами клиенты румов (GGPoker и другие) в этой схеме, по словам исследователя, не участвовали. Бить через «официальный» клиент сложнее и шумнее. Проще отравить то, что игроки ставят сами, чтобы крутить 8-12 столов и не сходить с ума от окон.

Имена, банки и странные паттерны

В сообществе быстро всплыло имя канадца Paul Gregg и связанные ники: Paul Gregg на GGPoker, Europe на CoinPoker (крипто-ориентированный покер-рум), JackKlompus, OxOO и Ez[Pz] в сети WPN. По скриншотам SmartHand, которые разобрал игрок Aleksey «Avr0ra» Borovkov, OxOO и JackKlompus вместе показали прибыль свыше $837 тыс. У части аккаунтов доля рук против конкретных регуляров доходила до 90% - так не выглядит случайный гринд.

Игрок Manuel Saavedra сказал, что агент сидел у него больше года и за полгода он проиграл Gregg около $60 тыс. на GGPoker. Испанский профессионал Ignacio Morón оценивает свои потери в $100-200 тыс., в том числе порядка $60 тыс. за 15 минут. Прямой юридической связки «Gregg лично ставил агент» публично нет: это совпадение ников, статистики и заражённых машин. CoinPoker всё же удалил связанный аккаунт, изъял свыше $100 тыс. и возместил затронутых игроков. По словам амбассадора Patrick Leonard, аккаунт прожил на площадке меньше недели, но жалобы на эту личность ходили годами.

Почему это бьёт шире, чем хайстейк

Даже если вы играете NL50, логика та же: любой софт «для удобства» с автообновлением - это канал. Агент мог читать не только карты, но сохранённые пароли браузера, куки сессий и данные карт. Онлайн-покер для русскоязычной аудитории 20-40 лет - и хобби, и серый заработок, и криптостолы. Когда чужой человек год смотрит ваш стол, речь уже не про «не повезло в картах», а про кражу информации с домашнего ПК.

Схема напоминает старые суперюзер-скандалы Absolute Poker и UltimateBet, только вместо бэкдора на сервере рума - бэкдор на вашем Windows. Руму проще откреститься: «это не наш клиент». Игроку сложнее: он сам поставил трекер.

Что сделали румы и вендоры

Jurojin выпустила подписанную утилиту проверки, сохранила логи заражённых сборок и обещает передать данные силовикам. Текущие версии обоих трекеров, по заявлениям, вредоноса не разносят. ACR Poker (Americas Cardroom) включил блокировку скриншеринга и захвата экрана на своих столах - запоздалый, но понятный ход. CoinPoker усилил мониторинг хайстейка.

GGPoker подтвердил контакт с тренером Patrick Howard, который ещё в сентябре присылал разбор странной статистики без прямого обвинения в читерстве. Индустрия снова делает вид, что проблема «у софта рядом», а не в культуре ставить всё подряд на боевую машину с деньгами.

Как не стать следующей жертвой (без мануала для злодея)

Не ставьте непроверенные «хелперы» столов на тот же ПК, где кошельки и банкинг. Отдельный пользователь Windows или отдельная машина для игры - банально, но режет площадь атаки. Автообновления стороннего софта - точка входа; если вендор молчит про инцидент цепочки поставок, это сигнал.

Если играете всерьёз: смотрите службы Windows на предмет чужого удалённого доступа, исключения Defender, которые вы сами не добавляли, странные логины с новых устройств в истории рума. Не сносите улики сразу, если что-то нашли - сначала сохраните. Это не инструкция «как повторить», а напоминание: легитимный IT-инструмент в чужих руках превращает ваш стол в аквариум.

Что будет дальше

Дальше румам предстоит сверить хендхистори заражённых с сессиями против «счастливых» ников. Jurojin готова отдать логи. Часть денег CoinPoker уже вернул. Сколько всего увели за годы - оценки от сотен тысяч до «нескольких миллионов» по разным столам GG, ACR и Coin, но это слова сообщества, не приговор суда.

Для обычного человека вывод простой: цифровой заработок и хобби сидят на том же железе, что и остальная жизнь. Чужой легитимный агент не взламывает казино. Он взламывает вас, пока вы думаете, что проблема только у китов.

Источники

GamblingNews: предупреждения румам и изъятие CoinPoker, WorldPokerDeals: хронология Mesh Agent, PokerNews: разбор WolfSec0x0.