100多台电脑确认中招！扑克软件官方渠道下载也不安全？

如果有人能在你打牌时，直接看到你电脑屏幕上的底牌，你还相信这是一场公平的游戏吗？

2026年9月底，一位名为 WolfSec0x0 的网络安全专家在 X 上发布调查信息，披露有人利用名为 MeshAgent 的远程访问工具入侵线上扑克玩家的电脑，从而窥视玩家的底牌。

截至10月14日，WolfSec0x0 表示，调查中已经确认超过100台电脑受到影响。他估计，潜在受影响规模可能达到300至1000台，但这个数字尚未得到最终证实。

更值得警惕的是，调查发现，恶意程序可能通过扑克玩家常用的辅助软件传播，其中甚至包括从软件官方网站下载的程序。

10月14日，GipsyTeam 发布了对 WolfSec0x0 的专访，进一步披露了此次事件的调查进展，以及线上扑克玩家应该如何保护自己的电脑和资金。

黑客如何看到玩家的底牌？

WolfSec0x0 拥有超过10年的网络安全从业经验，同时也是一名扑克玩家。

他表示，自己最初是接到一小群高额桌玩家的求助。这些玩家在此前的电脑安全问题上曾与他有过接触。当时，他们已经开始自行调查电脑中的异常程序，并借助 AI 工具辅助分析。

随着越来越多的玩家报告类似情况，WolfSec0x0 意识到，这可能不是某一台电脑遭到感染的孤立事件。

经过进一步排查，他发现了一个关键线索：部分玩家电脑中出现的异常情况，与他们此前从正规渠道下载的扑克辅助软件有关。

其中一个被发现存在问题的程序是 IntuitiveTables。这款软件主要用于扑克桌面管理和多桌操作。

另一个涉及此次调查的程序则是 Jurojin，同样属于扑克玩家常用的辅助工具。

调查显示，攻击者可能通过这些软件，将远程访问程序植入目标玩家的电脑。一旦成功入侵，攻击者便有机会远程查看受害者的屏幕，进而获取牌局中的底牌信息。

这与传统的线上作弊有着明显区别。

普通作弊可能依赖串通、机器人或其他违规手段，而这种方式直接从玩家的电脑端下手。

即使牌桌上的账号没有表现出明显异常，背后的操作者也可能已经掌握了对手的底牌。

最令人担忧的地方：官方网站下载也可能中招

根据 WolfSec0x0 的调查，IntuitiveTables 的一个受影响版本于2026年3月3日构建，并使用了该公司有效的代码签名证书。

至少有一名受害者直接从软件官方网站下载了这个版本。

这意味着，问题可能并非简单地发生在第三方网站提供的盗版安装包上。

WolfSec0x0 认为，攻击者似乎曾获得访问软件源代码和签名流程的权限。不过，攻击者究竟通过什么方式进入 IntuitiveTables 的开发或构建环境，目前仍没有公开的确定答案。

更隐蔽的是，这个版本中的隐藏代码会检查玩家的游戏昵称是否出现在目标名单中。

只有匹配到目标名单的用户，才会触发远程访问程序的安装。其他使用同一版本的玩家可能完全察觉不到异常。

换句话说，即便下载了同一个软件版本，也不代表所有用户都会受到相同影响。

而 Jurojin 涉及的传播方式，则展现了另一种风险。

根据 Jurojin 开发团队此前公布的技术报告，从2025年6月至2026年1月，攻击者曾多次替换面向特定用户的更新文件。

开发团队发现了92次不同的恶意文件分发记录。部分被替换的文件只存在了几个小时，之后便被正常版本取代。

攻击者通过修改亚马逊 S3 存储地址中的一个字母，将部分用户的下载请求引向另一个位置，使软件仍然沿用看似正常的更新流程。

需要说明的是，并非所有被修改的更新包都包含远程访问程序。

此外，WolfSec0x0 还提到，调查中确认的最早一批相关感染案例可追溯至2022年11月。不过，这些早期案例采用的是其他入侵方式，并非通过上述扑克辅助软件传播。

因此，不能简单地认为所有相关攻击都始于扑克软件，也不能将所有受影响电脑都归因于同一种传播途径。

超过100台电脑确认受影响，实际规模可能更大

在最初发布调查信息时，WolfSec0x0 提到的受影响电脑数量约为30台。

接受 GipsyTeam 采访时，他表示，已经确认的数量超过100台。

他估计，潜在受影响规模可能在300至1000台之间。

这个估算部分依据 Jurojin 的调查记录：有数百个账号至少曾被引导下载过恶意文件。不过，曾接触恶意下载链接，并不等于电脑已经感染，因此这些数字不能直接画上等号。

目前也没有最终统计结果，未来是否能够准确确认全部受影响设备，仍存在不确定性。

更重要的问题是：这些电脑被入侵后，究竟有多少玩家在牌桌上遭受了实际损失？

WolfSec0x0 表示，调查人员在部分受害者电脑上发现了远程桌面会话，以及单次上传数百兆字节数据的记录。这些情况与攻击者远程观察玩家实时操作的可能性相符，但仅凭数据传输记录，还不能确定具体看到了哪些牌局或底牌。

要将电脑端的异常活动与具体牌局对应起来，还需要扑克平台提供相关数据。

只有平台掌握的牌局历史、座位信息和账号记录，才有可能帮助调查人员进一步确认哪些对手曾与受害者同桌，以及相关账号是否因此获得不正常的收益。

WolfSec0x0 认为，此次事件涉及的玩家可能并非随机受害者，而是根据身份、知名度、常玩的平台等因素被筛选出来的目标。

他提及的相关平台包括 GG、WPN 和 CoinPoker 等。

不过，具体受害者名单、实际作弊牌局数量以及最终损失金额，目前仍有待进一步调查。

平台应该承担什么责任？

当玩家多次举报可疑行为时，线上扑克平台应该如何处理？

此前，Patrick Howard 曾在9月初向 GG举报 Paul Gregg 的可疑打法。另有玩家 Ignacio Morón 表示，社区中针对相关问题的担忧已经持续多年。

WolfSec0x0 表示，他无法评价 GG对某一份具体举报的内部处理情况，但他认为，平台应当将可信的公平性举报视为潜在的安全事件，而不只是普通的玩家投诉。

在他看来，平台至少应该做到三件事：

- 对举报作出回应，而不是让举报者长期得不到消息。

- 妥善保存相关牌局和账号数据，避免重要证据丢失。

- 对举报内容展开跟进调查，并在必要时与安全研究人员合作。

此次事件也暴露了传统反作弊机制可能存在的盲区。

如果攻击者通过受害者的电脑获取底牌，那么获利账号本身未必存在恶意软件，其牌局数据甚至可能看起来十分正常。

因此，平台不能只检查可疑账号自身的行为，还需要从受害者一侧分析：哪些账号反复与特定玩家同桌？它们是否总能在对阵某些玩家时取得异常出色的成绩？

WolfSec0x0 还建议，扑克平台与独立安全研究人员之间应当建立更有效的合作机制。

许多与攻击有关的信息，例如恶意文件名称、服务器地址、可疑域名和攻击手法，并不涉及玩家的个人身份信息，完全可以在保护隐私的前提下进行共享。

对于必须使用玩家数据的调查，则可以在获得当事人同意后进行。

他认为，平台还可以使用稳定的匿名编号来处理牌局历史，并建立真正能够回应问题的安全联络渠道。

受害者的损失应该由谁承担？

这也是此次事件中最现实的问题之一。

Jurojin 开发团队在公开技术报告后，承认了软件安全问题，并向用户致歉。

对于赔偿问题，开发团队认为，退款和赔偿应由扑克平台负责，因为平台掌握牌局历史和账号记录，能够分析实际对局情况，并判断是否存在违规获利。

WolfSec0x0 对此提出了两个层面的解决思路。

第一步，由扑克平台调查牌局并处理相关资金。

平台拥有完整的牌局记录，可以核查哪些账号曾与受害者对局、哪些收益可能与作弊有关。如果确认存在违规获利，平台可以冻结或追回相关资金，并向受影响的玩家退款。

过去一些机器人作弊和超级用户作弊事件中，平台也曾采取过类似措施。

第二步，通过执法调查追查攻击者。

WolfSec0x0 认为，如果希望追回更多损失，执法部门对幕后攻击者展开调查同样重要。

他建议受影响的玩家保留证据、估算损失，并向当地执法机构报案，以便将分散的案件关联起来。

至于软件开发商、扑克平台和攻击者之间究竟应如何划分法律责任，他明确表示自己不是律师，不对法律责任作出判断。

截至该专访发布时，调查仍在继续，具体受害人数、损失金额和最终责任认定均未有完整结论。

线上扑克玩家现在应该做什么？

对于普通玩家来说，这起事件最有价值的部分，可能不是追踪某一个可疑账号，而是重新检查自己的电脑安全。

WolfSec0x0 给出了几项建议。

1. 检查电脑中是否存在陌生的远程访问程序

玩家应当了解自己的电脑安装了哪些软件、哪些程序会随 Windows 启动，以及是否存在自己从未主动安装的远程访问工具。

此次调查中值得留意的异常迹象包括：

- 名为“Mesh Agent”的服务。

- 自己无法识别的远程访问程序。

- Windows Defender 中出现自己没有添加的排除项。

但需要注意，发现上述迹象并不必然意味着电脑已经遭到入侵；反过来，没有发现这些迹象，也不能保证电脑绝对安全。

如果怀疑电脑存在问题，不要仅凭某个名称就认定自己已经中招，应进一步进行专业检查。

2. 职业玩家最好使用专门的扑克电脑

对于依赖线上扑克收入的职业玩家，WolfSec0x0 建议单独准备一台干净的电脑，仅用于扑克相关活动。

尽量不要在这台电脑上处理日常邮件、随意浏览网站、下载无关文件、使用破解软件或处理加密货币业务。

同时，应尽可能减少安装的第三方扑克工具。

HUD、桌面管理器、牌局追踪软件和求解器确实能够帮助玩家提高效率，但每增加一个软件，就意味着增加一个潜在的安全入口。

尤其值得注意的是，此次调查涉及的软件中，有程序曾通过官方网站分发受影响版本。

因此，不能仅凭“从官网下载安装”或“拥有有效代码签名”，就认定软件一定安全。

3. 把账号安全当成一项长期工作

对于资金量较大的玩家，WolfSec0x0 建议使用密码管理器、通过硬件钱包保管加密资产，并定期请专业人员审查电脑和账号的安全状况。

玩家还应该提前制定应急方案，而不是等到资金或账号出现异常后才开始处理。

如果已经有充分理由怀疑电脑遭到入侵，应使用另一台可信设备处理后续操作。WolfSec0x0 建议优先更改邮箱密码、退出所有已登录会话，再依次处理其他账号，并在必要时彻底重装电脑系统。

不要在疑似已被入侵的电脑上直接修改所有密码，因为攻击者可能仍能监控相关操作。

这起事件还留下了哪些问题？

WolfSec0x0 认为，除了此次 MeshAgent 事件本身，还有两个长期风险值得关注。

首先，AI 工具可能降低攻击者实施复杂网络攻击的门槛，让类似攻击更容易复制和扩大规模。

其次，扑克软件的供应链安全可能成为新的薄弱环节。

职业玩家往往同时使用多个第三方工具，而这些工具可能拥有较高的系统权限。一旦某个开发商的软件分发渠道遭到入侵，攻击者就可能借此接触大量用户。

WolfSec0x0 还提到，调查人员在攻击者的网络中发现了模仿热门扑克软件的相似域名。例如，真实的 Hand2Note 官方域名是 hand2note.com，而调查中发现了一个使用 hand2note.org 的相似域名。

这类域名容易让用户在下载软件时产生混淆。

对于任何扑克软件，下载前都应该仔细核对网址，避免通过搜索结果中的仿冒网站、陌生人发送的链接或未经验证的安装包获取程序。

GipsyTeam 的专访还提到了 Jurojin 提供的 Mesh Agent 检查工具。不过，检查工具没有发现异常，并不代表电脑一定没有遭到入侵。如果存在较强的入侵迹象，仍应寻求专业安全人员帮助。

本文根据GipsyTeam发布的WolfSec0x0专访整理。文中涉及的受影响规模为调查人员的估算，相关技术细节和责任认定以调查及后续公开信息为准。