Lien d'invitation Discord utilisé pour livrer un malware ciblant les portefeuilles crypto

Une nouvelle campagne de malware ciblant les utilisateurs de crypto via des liens d'invitation Discord a été découverte. Selon les informations, le nouveau malware exploite une faiblesse dans le système d'invitation de Discord pour livrer un voleur d'informations connu sous le nom de Skuld et le trojan d'accès à distance AsyncRAT.

Dans un rapport de Check Point, la plateforme a mentionné que les attaquants détournent les liens par l'enregistrement de liens vanité, ce qui leur permet de rediriger facilement les utilisateurs de sources de confiance vers des serveurs malveillants.

« Les attaquants ont combiné la technique de phishing ClickFix, des chargeurs multi-étapes et des évasions basées sur le temps pour livrer furtivement AsyncRAT, ainsi qu’un Skuld Stealer personnalisé ciblant les portefeuilles crypto », a déclaré Check Point.

Selon la plateforme, l’un des usages du mécanisme d’invitation de Discord est qu’il permet aux attaquants de détourn des liens d’invitation expirés ou supprimés et de rediriger secrètement des utilisateurs peu méfiants vers différents serveurs malveillants sous leur contrôle. Cela signifie qu’un lien d’invitation Discord, précédemment partagé à des fins légitimes sur les réseaux sociaux et d’autres forums, pourrait être utilisé pour diriger les utilisateurs vers leurs serveurs et plateformes malveillants.

Lien d’invitation Discord détourné à des fins malveillantes

Ce développement survient un peu plus d'un mois après que le cabinet de cybersécurité a révélé une autre campagne de phishing sophistiquée qui a détourné des liens vanité expirés pour inciter les utilisateurs à rejoindre un serveur Discord, leur demandant de visiter un site de phishing pour vérifier la propriété. Les acteurs malveillants ont finalement utilisé la plateforme pour obtenir un accès illégal aux portefeuilles numériques des utilisateurs et vider leurs portefeuilles après les avoir connectés.

Bien que les utilisateurs soient autorisés à créer des liens d'invitation temporaires, permanents ou personnalisés sur Discord, la plateforme ne permet pas à d'autres serveurs légitimes de récupérer un lien d'invitation précédemment expiré ou supprimé. Cependant, si un utilisateur crée un lien personnalisé, il peut réutiliser les codes d'invitation expirés et même certains codes d'invitation permanents supprimés dans certains cas.

Cette capacité à réutiliser des codes expirés ou supprimés lors de la création de liens d’invitation personnalisés permet aux criminels d’en abuser, la plupart les réclamant pour leurs serveurs malveillants. « Cela crée un risque sérieux : les utilisateurs qui suivent des liens d’invitation précédemment fiables (par exemple, sur des sites web, des blogs ou des forums) peuvent être redirigés sans le savoir vers de faux serveurs Discord créés par des acteurs malveillants », a déclaré Check Point.

Selon le rapport, le détournement de liens d’invitation Discord consiste à utiliser un lien d’invitation légitime partagé par des communautés pour rediriger les utilisateurs vers un serveur malveillant. Les victimes de cette arnaque sont invitées à compléter un tampon de vérification, ce qui implique de saisir plusieurs informations pour obtenir un accès complet au serveur. Cela se fait en autorisant un bot, qui les dirige vers un site web factice où ils sont tenus de vérifier les informations fournies. Après cela, les escrocs utilisent une tactique d’ingénierie sociale pour inciter les utilisateurs à infecter leurs systèmes.

Les acteurs malveillants volent les phrases seed des portefeuilles avec des logiciels malveillants

Selon le rapport, le malware Skuld est capable de récolter les phrases semences des portefeuilles crypto des portefeuilles Exodus et Atomic. Il effectue cette activité en utilisant une approche appelée injection de portefeuille, remplaçant la version originale des fichiers de l'application par des versions chargées de trojans téléchargés depuis GitHub. Une autre charge utile est un voleur d'informations Goland qui peut être téléchargé depuis Bitbucket. Il est utilisé pour voler des données sensibles de Discord, de divers navigateurs, portefeuilles crypto et plateformes de jeu.

Check Point a ajouté qu’il a également identifié une autre campagne malveillante menée par le même acteur de menace, qui a distribué le chargeur sous la forme d’une version modifiée d’un outil de piratage pour débloquer des jeux piratés. Selon le rapport, le programme a été téléchargé 350 fois sur Bitbucket. Les victimes de ces campagnes sont principalement situées aux États-Unis, en France, en Slovaquie, aux Pays-Bas, en Autriche, au Vietnam et au Royaume-Uni.

Les résultats montrent le dernier exemple de la façon dont les cybercriminels ciblent la plateforme. « Cette campagne illustre comment une fonctionnalité subtile du système d’invitation de Discord, la capacité de réutiliser des codes d’invitation expirés ou supprimés dans les liens d’invitation personnalisés, peut être exploitée comme un vecteur d’attaque puissant », ont déclaré les chercheurs. « En détournant des liens d’invitation légitimes, les acteurs de menace redirigent silencieusement les utilisateurs peu méfiants vers des serveurs Discord malveillants. »