Enlace de invitación de Discord utilizado para entregar malware que apunta a billeteras de criptomonedas

Se ha descubierto una nueva campaña de malware que apunta a usuarios de criptomonedas a través de enlaces de invitación de Discord. Según la información, el nuevo malware explota una debilidad en el sistema de invitaciones de Discord para entregar un ladrón de información conocido como Skuld y el troyano de acceso remoto AsyncRAT.

En un informe de Check Point, la plataforma mencionó que los atacantes secuestran los enlaces a través del registro de enlaces vanidosos, lo que les permite redirigir fácilmente a los usuarios desde fuentes confiables a servidores maliciosos.

«Los atacantes combinaron la técnica de phishing ClickFix, cargadores de múltiples etapas y evasiones basadas en el tiempo para entregar silenciosamente AsyncRAT y un Skuld Stealer personalizado que apunta a billeteras de criptomonedas», dijo Check Point.

Según la plataforma, uno de los usos del mecanismo de invitación de Discord es que permite a los atacantes secuestrar enlaces de invitación expirados o eliminados y redirigir secretamente a usuarios desprevenidos a diferentes servidores maliciosos bajo su control. Esto significa que un enlace de invitación de Discord, que anteriormente se compartió con un propósito legítimo en redes sociales y otros foros, podría usarse para llevar a los usuarios a sus servidores y plataformas maliciosas.

Enlace de invitación de Discord secuestrado con fines maliciosos

Este desarrollo ocurre poco más de un mes después de que la firma de ciberseguridad revelara otra campaña de phishing sofisticada que secuestró enlaces vanidosos expirados para atraer a los usuarios a unirse a un servidor de Discord, instruyéndoles a visitar un sitio de phishing para verificar la propiedad. Los actores maliciosos eventualmente usaron la plataforma para obtener acceso ilegal a las billeteras digitales de los usuarios y vaciar sus billeteras después de conectarlas.

Aunque se permite a los usuarios crear enlaces de invitación temporales, permanentes o personalizados en Discord, la plataforma no permite que otros servidores legítimos reclamen un enlace de invitación previamente expirado o eliminado. Sin embargo, si un usuario crea un enlace personalizado, puede reutilizar los códigos de invitación expirados e incluso algunos códigos permanentes eliminados en algunos casos.

Esta capacidad de reutilizar códigos expirados o eliminados al crear enlaces de invitación vanidosos personalizados permite a los criminales abusar de ella, con la mayoría de ellos reclamándolos para sus servidores maliciosos. «Esto crea un riesgo serio: los usuarios que siguen enlaces de invitación previamente confiables (por ejemplo, en sitios web, blogs o foros) pueden ser redirigidos sin saberlo a servidores falsos de Discord creados por actores de amenazas», dijo Check Point.

Según el informe, el secuestro de enlaces de invitación de Discord implica usar un enlace de invitación legítimo compartido por comunidades para redirigir a los usuarios a un servidor malicioso. Las víctimas de este esquema se les pide que completen un sello de verificación, lo que implica ingresar varios detalles para obtener acceso completo al servidor. Esto se hace autorizando un bot, lo que los lleva a un sitio web falso donde se les obliga a verificar la información proporcionada. Después de esto, los estafadores utilizan una táctica de ingeniería social para engañar a los usuarios e infectar sus sistemas.

Actores maliciosos roban frases semilla de billeteras con malware

Según el informe, el malware Skuld es capaz de recopilar las frases semilla de las billeteras de criptomonedas de las billeteras Exodus y Atomic. Realiza esta actividad utilizando un enfoque llamado inyección de billetera, reemplazando la versión original de los archivos de la aplicación con versiones cargadas con troyanos descargados de GitHub. Otra carga útil es un ladrón de información Goland que se puede descargar de Bitbucket. Se utiliza para robar datos sensibles de Discord, varios navegadores, billeteras de criptomonedas y plataformas de juegos.

Check Point añadió que también identificó otra campaña maliciosa llevada a cabo por el mismo actor de amenazas, donde distribuyó el cargador como una versión modificada de una herramienta de hackeo para desbloquear hams piratas. El programa, según el informe, ha sido descargado 350 veces en Bitbucket. Las víctimas de estas campañas se encuentran principalmente en Estados Unidos, Francia, Eslovaquia, Países Bajos, Austria, Vietnam y el Reino Unido.

Los hallazgos muestran el último ejemplo de cómo los cibercriminales han estado apuntando a la plataforma. «Esta campaña ilustra cómo una característica sutil del sistema de invitaciones de Discord, la capacidad de reutilizar códigos de invitación expirados o eliminados en enlaces de invitación vanidosos, puede ser explotada como un vector de ataque poderoso», dijeron los investigadores. «Al secuestrar enlaces de invitación legítimos, los actores de amenazas redirigen silenciosamente a usuarios desprevenidos a servidores maliciosos de Discord».