暗号資産ウォレットを対象としたマルウェアを配信するために使用されるDiscord招待リンク

Discordの招待リンクを通じて暗号資産ユーザーを対象としたマルウェアの新しいキャンペーンが発見されました。情報によると、この新しいマルウェアはDiscordの招待システムの脆弱性を悪用し、Skuldという情報窃取ツールとAsyncRATリモートアクセストロイの木馬を配信します。

Check Pointのレポートによると、プラットフォームは攻撃者がバニティリンク登録を通じてリンクをハイジャックし、信頼できるソースからユーザーを悪意のあるサーバーへ容易にリダイレクトすることを可能にしていると指摘しました。

「攻撃者はClickFixフィッシング手法、マルチステージローダー、および時間ベースの回避策を組み合わせ、暗号資産ウォレットを対象としたAsyncRATとカスタマイズされたSkuld Stealerをステルスで配信しました」とCheck Pointは述べています。

プラットフォームによると、Discordの招待メカニズムの1つの用途は、攻撃者が期限切れまたは削除された招待リンクをハイジャックし、無防備なユーザーを制御下の異なる悪意のあるサーバーへ密かにリダイレクトすることを可能にすることです。これは、以前ソーシャルメディアやその他のフォーラムで正当な目的のために共有されたDiscord招待リンクが、ユーザーを攻撃者の悪意のあるサーバーやプラットフォームへ誘導するために使用される可能性があることを意味します。

悪意のある目的のためにハイジャックされたDiscord招待リンク

この展開は、サイバーセキュリティ企業が、期限切れのバニティリンクをハイジャックしてユーザーをDiscordサーバーに参加させ、フィッシングサイトへの訪問を指示して所有権を確認させる、もう1つの洗練されたフィッシングキャンペーンを明らかにしてから1ヶ月以上経ってのことです。悪意のある行為者は最終的にプラットフォームを使用してユーザーのデジタルウォレットへの不正アクセスを取得し、接続後にウォレットを空にしました。

ユーザーはDiscord上で一時的、恒久的、またはカスタムの招待リンクを作成することが許可されていますが、プラットフォームは、以前期限切れまたは削除された招待リンクを他の正当なサーバーが奪還することを許可していません。ただし、ユーザーがカスタムリンクを作成した場合、期限切れの招待コードや、場合によっては一部の削除された恒久的招待コードを再利用することができます。

カスタムバニティ招待リンクを作成する際に期限切れまたは削除されたコードを再利用するこの能力により、犯罪者はこれを悪用し、その大部分が悪意のあるサーバーのためにこれらを主張しています。「これは深刻なリスクを生み出します：以前信頼された招待リンク（例：ウェブサイト、ブログ、またはフォーラム上）に従うユーザーは、脅威アクターによって作成された偽のDiscordサーバーへ無意識のうちにリダイレクトされる可能性があります」とCheck Pointは述べています。

報告書によると、Discord招待リンクのハイジャックは、コミュニティによって共有された正当な招待リンクを使用してユーザーを悪意のあるサーバーへリダイレクトすることを含みます。このスキームの被害者は、サーバーへの完全なアクセスを得るためにいくつかの詳細を入力する検証スタンプを完了するよう求められます。これはボットを承認することによって行われ、ユーザーは提供された情報を検証することを義務付けられた偽のウェブサイトへ誘導されます。その後、詐欺師はソーシャルエンジニアリング戦術を使用して、ユーザーのシステムに感染させることをトリックします。

悪意ある攻撃者がマルウェアでウォレットのシードフレーズを窃取

報告書によると、SkuldマルウェアはExodusやAtomicなどの暗号資産ウォレットからウォレットシードフレーズを窃取することができます。これは「ウォレットインジェクション」と呼ばれるアプローチを使用して実行され、GitHubからダウンロードされたトロイの木馬がロードされたバージョンに、アプリケーションファイルの元のバージョンを置き換えます。もう一つのペイロードはBitbucketからダウンロードできるGoland情報窃取ツールで、Discord、各種ブラウザ、暗号資産ウォレット、およびゲームプラットフォームから機密データを窃取するために使用されます。

Check Pointはまた、同じ脅威アクターによって実行されている別の悪意あるキャンペーンも特定したと付け加えた。このキャンペーンでは、海賊版ハムウェアのロック解除用ハックツールの改変版としてローダーが配布された。レポートによると、このプログラムはBitbucketで350回ダウンロードされている。これらのキャンペーンの被害者は主に米国、フランス、スロバキア、オランダ、オーストリア、ベトナム、英国に位置している。

これらの発見は、サイバー犯罪者がプラットフォームを標的にしている最新例を示している。「このキャンペーンは、Discordの招待システムの微妙な機能、すなわち期限切れまたは削除された招待コードをバニティ招待リンクで再利用できる機能が、強力な攻撃ベクターとして悪用される方法を示している」と研究者らは述べた。「正当な招待リンクをハイジャックすることで、脅威アクターは無邪気なユーザーを悪意あるDiscordサーバーに静かにリダイレクトする。