Link di invito Discord utilizzato per distribuire malware che mira ai wallet crypto

È stata scoperta una nuova campagna di malware che mira agli utenti crypto tramite link di invito Discord. Secondo le informazioni, il nuovo malware sfrutta una debolezza nel sistema di invito di Discord per distribuire un information stealer noto come Skuld e il trojan di accesso remoto AsyncRAT.

In un rapporto di Check Point, la piattaforma ha menzionato che gli attaccanti dirottano i link attraverso la registrazione di link vanità, il che consente loro di reindirizzare facilmente gli utenti da fonti attendibili a server dannosi.

,” “Gli attaccanti hanno combinato la tecnica di phishing ClickFix, loader multi-fase ed evasioni basate sul tempo per consegnare furtivamente AsyncRAT e un Skuld Stealer personalizzato che mira ai wallet crypto,” ha dichiarato Check Point.

Secondo la piattaforma, uno degli usi del meccanismo di invito di Discord è che consente agli attaccanti di dirottare link di invito scaduti o eliminati e reindirizzare segretamente gli utenti ignari a diversi server dannosi sotto il loro controllo. Ciò significa che un link di invito Discord, precedentemente condiviso per uno scopo legittimo sui social media e su altri forum, potrebbe essere utilizzato per portare gli utenti ai loro server e piattaforme dannosi.

Link di invito Discord dirottato per scopi malevoli

Questo sviluppo arriva poco più di un mese dopo che la società di cybersecurity ha rivelato un'altra sofisticata campagna di phishing che ha dirottato link vanità scaduti per indurre gli utenti a unirsi a un server Discord, istruendoli a visitare un sito di phishing per verificare la proprietà. Gli attori malintenzionati hanno infine utilizzato la piattaforma per ottenere accesso illegale ai wallet digitali degli utenti e svuotarli dopo averli connessi.

While users are allowed to create temporary, permanent, or custom invite links on Discord, the platform does not allow other legitimate servers to reclaim a previously expired or deleted invite link. However, if a user creates a custom link, they can reuse the expired invite codes and even some deleted permanent invite codes in some cases.

Questa capacità di riutilizzare codici scaduti o eliminati quando si creano link di invito vanità personalizzati consente ai criminali di abusarne, con la maggior parte di loro che li reclama per i propri server dannosi. “Questo crea un rischio serio: gli utenti che seguono link di invito precedentemente attendibili (ad esempio, su siti web, blog o forum) possono essere inconsapevolmente reindirizzati a server Discord falsi creati da attori delle minacce,” ha dichiarato Check Point.

Secondo il rapporto, il dirottamento dei link di invito Discord implica l'uso di un link di invito legittimo condiviso dalle comunità per reindirizzare gli utenti a un server dannoso. Le vittime di questo schema vengono richieste di completare un timbro di verifica, che comporta l'inserimento di diversi dettagli per ottenere l'accesso completo al server. Questo viene fatto autorizzando un bot, che le porta a un sito web falso dove sono obbligate a verificare le informazioni fornite. Dopo questo, gli scammer utilizzano una tattica di ingegneria sociale per ingannare gli utenti e infettare i loro sistemi.

Attori malevoli rubano le seed phrase dei wallet con malware

Secondo il rapporto, il malware Skuld è in grado di raccogliere le seed phrase dei wallet crypto dai wallet Exodus e Atomic. Svolge questa attività utilizzando un approccio chiamato wallet injection, sostituendo la versione originale dei file dell'applicazione con versioni caricate con trojan scaricati da GitHub. Un altro payload è un information stealer Goland che può essere scaricato da Bitbucket. Viene utilizzato per rubare dati sensibili da Discord, vari browser, wallet crypto e piattaforme di gioco.

Check Point ha aggiunto di aver identificato un'altra campagna malevola condotta dallo stesso attore delle minacce, in cui ha distribuito il loader come una versione modificata di uno strumento di hacking per sbloccare hams piratati. Il programma, secondo il rapporto, è stato scaricato 350 volte su Bitbucket. Le vittime di queste campagne si trovano principalmente negli Stati Uniti, in Francia, in Slovacchia, nei Paesi Bassi, in Austria, in Vietnam e nel Regno Unito.

I risultati mostrano l'ultimo esempio di come i criminali informatici abbiano preso di mira la piattaforma. “Questa campagna illustra come una caratteristica sottile del sistema di invito di Discord, la capacità di riutilizzare codici di invito scaduti o eliminati nei link di invito vanità, possa essere sfruttata come un potente vettore di attacco,” hanno detto i ricercatori. “Dirottando link di invito legittimi, gli attori delle minacce reindirizzano silenziosamente gli utenti ignari a server Discord dannosi.”