암호화 지갑을 표적으로 삼는 멀웨어를 전달하기 위해 사용되는 디스코드 초대 링크

디스코드 초대 링크를 통해 암호화 사용자를 표적으로 삼는 새로운 멀웨어 캠페인이 발견되었습니다. 정보에 따르면, 새로운 멀웨어는 Skuld라는 정보 탈취기와 AsyncRAT 원격 접근 트로이 목마를 전달하기 위해 디스코드의 초대 시스템의 약점을 악용합니다.

체크포인트의 보고서에 따르면, 공격자들은 빈티지 링크 등록을 통해 링크를 하이재킹하여 신뢰할 수 있는 출처에서 악의적인 서버로 사용자를 쉽게 리디렉션할 수 있다고 언급했습니다.

“공격자들은 ClickFix 피싱 기법, 다단계 로더 및 시간 기반 회피 기법을 결합하여 AsyncRAT와 암호화 지갑을 표적으로 하는 사용자 정의형 스컬 스털러를 은밀하게 전달했습니다,”라고 체크포인트는 말했습니다.

플랫폼에 따르면, 디스코드의 초대 메커니즘 중 하나는 공격자가 만료되거나 삭제된 초대 링크를 하이재킹하여 무고한 사용자를 자신들이 통제하는 다른 악의적인 서버로 비밀리에 리디렉션할 수 있다는 것입니다. 이는 이전에 소셜 미디어 및 기타 포럼에서 합법적인 목적으로 공유되었던 디스코드 초대 링크가 사용자를 그들의 악의적인 서버 및 플랫폼으로 유도하는 데 사용될 수 있음을 의미합니다.

악의적인 목적으로 하이재킹된 디스코드 초대 링크

이 developments는 사이버 보안 기업 이 만료된 빈티지 링크를 하이재킹하여 사용자를 디스코드 서버로 유인하고 소유권을 확인하기 위해 피싱 사이트를 방문하도록 지시하는 또 다른 정교한 피싱 캠페인을 공개한 지 한 달 조금 지난 시점에 이루어졌습니다. 악의적인 행위자들은 결국 이 플랫폼을 사용하여 사용자의 디지털 지갑에 불법적으로 접근하고 연결된 후 지갑을 털어갔습니다.

사용자는 디스코드에서 임시, 영구 또는 사용자 지정 초대 링크를 생성할 수 있지만, 플랫폼은 다른 합법적인 서버가 이전에 만료되거나 삭제된 초대 링크를 회수하는 것을 허용하지 않습니다. 그러나 사용자가 사용자 지정 링크를 생성하면 만료된 초대 코드를 재사용할 수 있으며, 경우에 따라 일부 삭제된 영구 초대 코드도 재사용할 수 있습니다.

사용자 지정 빈티지 초대 링크를 생성할 때 만료되거나 삭제된 코드를 재사용할 수 있는 이 능력은 범죄자들이 악용할 수 있으며, 대부분이 이를 자신들의 악의적인 서버를 위해 주장합니다. “이것은 심각한 위험을 초래합니다: 웹사이트, 블로그 또는 포럼 등에서 이전에 신뢰할 수 있던 초대 링크를 따르는 사용자는 위협 행위자가 만든 가짜 디스코드 서버로 무의식적으로 리디렉션될 수 있습니다,”라고 체크포인트는 말했습니다.

보고서에 따르면 디스코드 초대 링크 하이재킹은 커뮤니티가 공유한 합법적인 초대 링크를 사용하여 사용자를 악의적인 서버로 리디렉션하는 것을 포함합니다. 이 사기의 피해자들은 서버에 대한 전체 액세스 권한을 얻기 위해 여러 세부 정보를 입력해야 하는 확인 스탬프를 완료하라고 요청받습니다. 이는 봇을 승인하여 가짜 웹사이트로 안내하여 제공된 정보를 확인하도록 의무화함으로써 이루어집니다. 이후 사기꾼들은 사회공학적 전술을 사용하여 사용자를 속여 시스템을 감염시킵니다.

악의적인 행위자들이 멀웨어로 지갑 시드 구문을 탈취합니다

보고서에 따르면 스컬(Skuld) 멀웨어는 Exodus 및 Atomic 암호화 지갑에서 암호화 지갑 시드 구문을 수집할 수 있습니다. 이 멀웨어는 GitHub에서 다운로드한 트로이 목마가 로드된 버전으로 애플리케이션 파일의 원래 버전을 교체하는 ‘지갑 주입(wallet injection)’이라는 접근 방식을 사용하여 이 작업을 수행합니다. 또 다른 페이로드는 Bitbucket에서 다운로드할 수 있는 Goland 정보 탈취기로, 디스코드, 다양한 브라우저, 암호화 지갑, 게임 플랫폼에서 민감한 데이터를 탈취하는 데 사용됩니다.

체크포인트는 또한 동일한 위협 행위자가 수행한 또 다른 악의적인 캠페인을 식별했으며, 여기서 로더는 해킹된 햄을 잠금 해제하기 위한 해킹 도구의 수정된 버전으로 배포되었습니다. 보고서에 따르면 이 프로그램은 Bitbucket에서 350회 다운로드되었습니다. 이러한 캠페인의 피해자들은 주로 미국, 프랑스, 슬로바키아, 네덜란드, 오스트리아, 베트남 및 영국에 위치해 있습니다.

이 발견들은 사이버 범죄자들이 플랫폼을 표적으로 삼는 최신 사례를 보여줍니다. “이 캠페인은 디스코드의 초대 시스템의 미묘한 기능인 빈티지 초대 링크에서 만료되거나 삭제된 초대 코드를 재사용할 수 있는 능력이 강력한 공격 벡터로 악용될 수 있음을 보여줍니다,”라고 연구원들은 말했습니다. “합법적인 초대 링크를 하이재킹함으로써 위협 행위자들은 무고한 사용자를 악의적인 디스코드 서버로 조용히 리디렉션합니다.”