Discord-Einladungslink wird zur Zustellung von Malware verwendet, die Crypto-Wallets zielt

Eine neue Kampagne von Malware, die Crypto-Nutzer über Discord-Einladungslinks angreift, wurde aufgedeckt. Laut Informationen nutzt die neue Malware eine Schwäche im Einladungssystem von Discord, um einen Information-Stealer namens Skuld und den Remote-Access-Trojaner AsyncRAT zu liefern.

In einem Bericht von Check Point erwähnte die Plattform, dass die Angreifer die Links durch Vanity-Link-Registrierung entführen, was es ihnen ermöglicht, Benutzer leicht von vertrauenswürdigen Quellen zu bösartigen Servern umzuleiten.

„Die Angreifer kombinierten die ClickFix-Phishing-Technik, Multi-Stage-Loader und zeitbasierte Ausweichmanöver, um AsyncRAT und einen maßgeschneiderten Skuld Stealer, der auf Crypto-Wallets abzielt, heimlich zu liefern“, sagte Check Point.

Laut der Plattform ist eine der Funktionen des Discord-Einladungsmechanismus, dass er Angreifern ermöglicht, abgelaufene oder gelöschte Einladungslinks zu entführen und ahnungslose Benutzer heimlich zu verschiedenen bösartigen Servern unter ihrer Kontrolle umzuleiten. Das bedeutet, dass ein Discord-Einladungslink, der zuvor für einen legitimen Zweck in sozialen Medien und anderen Foren geteilt wurde, verwendet werden kann, um Benutzer zu ihren bösartigen Servern und Plattformen zu führen.

Discord-Einladungslink für bösartige Zwecke entführt

Diese Entwicklung kommt etwas mehr als einen Monat nachdem das Cybersicherheitsunternehmen offenbarte eine weitere ausgefeilte Phishing-Kampagne, die abgelaufene Vanity-Links entführte, um Benutzer dazu zu bringen, einem Discord-Server beizutreten, und sie anwies, eine Phishing-Website zu besuchen, um den Besitz zu verifizieren. Die böswilligen Akteure nutzten die Plattform schließlich, um illegalen Zugriff auf die digitalen Geldbörsen der Benutzer zu erlangen und diese zu leeren, nachdem sie sie verbunden hatten.

Während Benutzer auf Discord temporäre, permanente oder benutzerdefinierte Einladungslinks erstellen dürfen, erlaubt die Plattform nicht, dass andere legitime Server einen zuvor abgelaufenen oder gelöschten Einladungslink zurückfordern. Wenn ein Benutzer jedoch einen benutzerdefinierten Link erstellt, kann er die abgelaufenen Einladungs-Codes und in einigen Fällen sogar einige gelöschte permanente Einladungs-Codes wiederverwenden.

Diese Fähigkeit, abgelaufene oder gelöschte Codes bei der Erstellung benutzerdefinierter Vanity-Einladungslinks wiederzuverwenden, ermöglicht es Kriminellen, sie zu missbrauchen, wobei die meisten sie für ihre bösartigen Server beanspruchen. „Dies schafft ein ernstes Risiko: Benutzer, die zuvor vertrauenswürdigen Einladungslinks folgen (z. B. auf Websites, Blogs oder Foren), können unwissentlich zu gefälschten Discord-Servern umgeleitet werden, die von Bedrohungsakteuren erstellt wurden“, sagte Check Point.

Laut dem Bericht beinhaltet das Entführen von Discord-Einladungslinks die Verwendung eines legitimen Einladungslinks, der von Communities geteilt wurde, um Benutzer zu einem bösartigen Server umzuleiten. Opfer dieses Betrugs werden gebeten, einen Verifizierungsstempel abzuschließen, was das Eingeben mehrerer Details beinhaltet, um vollen Zugriff auf den Server zu erhalten. Dies geschieht durch die Autorisierung eines Bots, der sie zu einer gefälschten Website führt, auf der sie verpflichtet sind, die bereitgestellten Informationen zu verifizieren. Danach verwenden die Betrüger eine Social-Engineering-Taktik, um Benutzer dazu zu bringen, ihre Systeme zu infizieren.

Bösewillige Akteure stehlen Wallet-Seed-Phrases mit Malware

Laut dem Bericht ist die Skuld-Malware in der Lage, Crypto-Wallet-Seed-Phrases aus den Exodus- und Atomic-Crypto-Wallets zu sammeln. Sie führt diese Aktivität mit einem Ansatz namens Wallet-Injection durch, bei dem die ursprüngliche Version der Anwendungsdateien durch Versionen ersetzt wird, die mit Trojanern geladen sind, die von GitHub heruntergeladen wurden. Eine weitere Payload ist ein Goland-Information-Stealer, der von Bitbucket heruntergeladen werden kann. Er wird verwendet, um sensible Daten aus Discord, verschiedenen Browsern, Crypto-Wallets und Gaming-Plattformen zu stehlen.

Check Point fügte hinzu, dass sie auch eine andere bösartige Kampagne desselben Bedrohungsakteurs identifiziert haben, bei der der Loader als modifizierte Version eines Hack-Tools zum Entsperren von Raubkopien von Ham-Software verteilt wurde. Das Programm wurde laut Bericht 350 Mal auf Bitbucket heruntergeladen. Opfer dieser Kampagnen befinden sich hauptsächlich in den Vereinigten Staaten, Frankreich, der Slowakei, den Niederlanden, Österreich, Vietnam und dem Vereinigten Königreich.

Die Ergebnisse zeigen das neueste Beispiel dafür, wie Cyberkriminelle die Plattform angegriffen haben. „Diese Kampagne veranschaulicht, wie eine subtile Funktion des Discord-Einladungssystems, die Fähigkeit, abgelaufene oder gelöschte Einladungs-Codes in Vanity-Einladungslinks wiederzuverwenden, als leistungsstarke Angriffsvektor ausgenutzt werden kann“, sagten die Forscher. „Durch das Entführen legitimer Einladungslinks leiten Bedrohungsakteure ahnungslose Benutzer stillschweigend zu bösartigen Discord-Servern um.“