رابط دعوة Discord يُستخدم لتوزيع برمجية خبيثة تستهدف محافظ العملات الرقمية

تم الكشف عن حملة جديدة من البرمجيات الخبيثة تستهدف مستخدمي العملات الرقمية عبر روابط دعوة Discord. ووفقاً للمعلومات، تستغل البرمجية الخبيثة الجديدة ضعفاً في نظام الدعوات في Discord لتوزيع مسروق معلومات يُعرف باسم Skuld وبرمجية الوصول عن بعد AsyncRAT.

في تقرير من Check Point، ذكرت المنصة أن المهاجمين يستولون على الروابط من خلال تسجيل الروابط الجميلة، مما يسمح لهم بإعادة توجيه المستخدمين بسهولة من مصادر موثوقة إلى خوادم خبيثة.

"جمع المهاجمون بين تقنية التصيد ClickFix، ومحمّلات متعددة المراحل، وتجنبات زمنية لتوصيل AsyncRAT بشكل خفي، ومسروق Skuld المخصص الذي يستهدف محافظ العملات الرقمية،" قالت Check Point.

ووفقاً للمنصة، أحد استخدامات آلية دعوة Discord هو أنه يسمح للمهاجمين بالاستيلاء على روابط الدعوة المنتهية الصلاحية أو المحذوفة وإعادة توجيه المستخدمين غير الحذرين سراً إلى خوادم خبيثة مختلفة تحت سيطرتهم. هذا يعني أن رابط دعوة Discord، الذي تم مشاركته سابقاً لغرض مشروع على وسائل التواصل الاجتماعي والمنتديات الأخرى، يمكن استخدامه لتوجيه المستخدمين إلى خوادمهم ومنصاتهم الخبيثة.

رابط دعوة Discord تم الاستيلاء عليه لأغراض خبيثة

يأتي هذا التطور بعد شهر تقريباً من كشف شركة الأمن السيبراني عن حملة تصيد متطورة أخرى استغلت الروابط الجميلة المنتهية الصلاحية لإغراء المستخدمين للانضمام إلى خادم Discord، وطلبت منهم زيارة موقع تصيد للتحقق من الملكية. استخدم الفاعلون الخبيثون المنصة في النهاية للحصول على وصول غير قانوني إلى محافظ المستخدمين الرقمية وتصريف محافظهم بعد ربطها.

بينما يُسمح للمستخدمين بإنشاء روابط دعوة مؤقتة أو دائمة أو مخصصة على Discord، فإن المنصة لا تسمح للخوادم المشروعة الأخرى باستعادة رابط دعوة منتهي الصلاحية أو محذوف سابقاً. ومع ذلك، إذا أنشأ المستخدم رابطاً مخصصاً، فيمكنه إعادة استخدام رموز الدعوة المنتهية الصلاحية وحتى بعض رموز الدعوة الدائمة المحذوفة في بعض الحالات.

تسمح هذه القدرة بإعادة استخدام الرموز المنتهية الصلاحية أو المحذوفة عند إنشاء روابط دعوة جميلة مخصصة، مما يسمح للمجرمين بإساءة استخدامها، حيث يدعي معظمهم هذه الروابط لخوادمهم الخبيثة. "هذا يخلق خطراً جسيماً: يمكن للمستخدمين الذين يتبعون روابط دعوة موثوقة سابقاً (مثل على المواقع الإلكترونية أو المدونات أو المنتديات) أن يتم إعادة توجيههم دون علم إلى خوادم Discord مزيفة أنشأها فاعلو التهديدات،" قالت Check Point.

ووفقاً للتقرير، تتضمن عملية الاستيلاء على رابط دعوة Discord استخدام رابط دعوة مشروع تم مشاركته من قبل المجتمعات لإعادة توجيه المستخدمين إلى خادم خبيث. يُطلب من ضحايا هذا المخطط إتمام ختم التحقق، والذي يتضمن إدخال عدة تفاصيل للحصول على وصول كامل إلى الخادم. يتم ذلك من خلال تفويض بوت، مما يؤدي بهم إلى موقع ويب مزيف حيث يُطلب منهم التحقق من المعلومات المقدمة. بعد ذلك، يستخدم المحتالون تكتيك الهندسة الاجتماعية لخداع المستخدمين لإصابة أنظمتهم.

الفاعلون الخبيثون يسرقون عبارات بذور المحافظ باستخدام البرمجيات الخبيثة

ووفقاً للتقرير، فإن البرمجية الخبيثة Skuld قادرة على حصاد عبارات البذور لمحافظ العملات الرقمية من محافظ Exodus و Atomic. تقوم بهذا النشاط باستخدام نهج يسمى حقن المحفظة، حيث تستبدل النسخة الأصلية من ملفات التطبيق بنسخة محملة ببرمجيات خبيثة تم تنزيلها من GitHub. حمولة أخرى هي مسروق معلومات Goland يمكن تنزيله من Bitbucket. يُستخدم لسرقة البيانات الحساسة من Discord، ومتصفحات مختلفة، محافظ العملات الرقمية، ومنصات الألعاب.

أضافت Check Point أنها حددت أيضاً حملة خبيثة أخرى يتم تنفيذها من قبل نفس فاعل التهديد حيث وزعت المحمّل كنسخة معدلة من أداة اختراق لفتح هams المقرصنة. ووفقاً للتقرير، تم تنزيل البرنامج 350 مرة على Bitbucket. يقع ضحايا هذه الحملات بشكل أساسي في الولايات المتحدة وفرنسا وسلوفاكيا وهولندا والنمسا وفيتنام والمملكة المتحدة.

تظهر النتائج أحدث مثال على كيفية استهداف المجرمين السيبرانيين للمنصة. "توضح هذه الحملة كيف يمكن استغلال ميزة دقيقة في نظام دعوة Discord، وهي القدرة على إعادة استخدام رموز الدعوة المنتهية الصلاحية أو المحذوفة في روابط الدعوة الجميلة، كقناة هجوم قوية،" قال الباحثون. "من خلال الاستيلاء على روابط دعوة مشروعة، يعيد فاعلو التهديدات توجيه المستخدمين غير الحذرين سراً إلى خوادم Discord خبيثة.".