Link de convite do Discord sendo usado para entregar malware que visa carteiras cripto

Uma nova campanha de malware visando usuários de criptomoedas através de links de convite do Discord foi descoberta. De acordo com as informações, o novo malware explora uma fraqueza no sistema de convite do Discord para entregar um coletor de informações conhecido como Skuld e o trojan de acesso remoto AsyncRAT.

Em um relatório da Check Point, a plataforma mencionou que os atacantes sequestram os links através do registro de links vanidosos, o que lhes permite redirecionar facilmente os usuários de fontes confiáveis para servidores maliciosos.

“Os atacantes combinaram a técnica de phishing ClickFix, carregadores em múltiplas etapas e evasões baseadas no tempo para entregar furtivamente o AsyncRAT e um Skuld Stealer personalizado que visa carteiras cripto,” disse a Check Point.

De acordo com a plataforma, um dos usos do mecanismo de convite do Discord é que ele permite que os atacantes sequestram links de convite expirados ou excluídos e redirecionem secretamente usuários desprevenidos para diferentes servidores maliciosos sob seu controle. Isso significa que um link de convite do Discord, que foi compartilhado anteriormente para um propósito legítimo em redes sociais e outros fóruns, pode ser usado para levar os usuários aos seus servidores e plataformas maliciosos.

Link de convite do Discord sequestrado para fins maliciosos

Este desenvolvimento ocorre pouco mais de um mês após a empresa de cibersegurança ter revelado outra campanha de phishing sofisticada que sequestrou links vanidosos expirados para atrair usuários a entrar em um servidor do Discord, instruindo-os a visitar um site de phishing para verificar a propriedade. Os agentes maliciosos eventualmente usaram a plataforma para obter acesso ilegal às carteiras digitais dos usuários e drenar suas carteiras após conectá-las.

Embora os usuários possam criar links de convite temporários, permanentes ou personalizados no Discord, a plataforma não permite que outros servidores legítimos recuperem um link de convite expirado ou excluído anteriormente. No entanto, se um usuário criar um link personalizado, ele pode reutilizar os códigos de convite expirados e até mesmo alguns códigos permanentes excluídos em alguns casos.

Essa capacidade de reutilizar códigos expirados ou excluídos ao criar links de convite vanidosos personalizados permite que criminosos abusem disso, com a maioria deles reivindicando-os para seus servidores maliciosos. “Isso cria um risco sério: Usuários que seguem links de convite anteriormente confiáveis (por exemplo, em sites, blogs ou fóruns) podem ser inadvertidamente redirecionados para servidores falsos do Discord criados por agentes de ameaça,” disse a Check Point.

De acordo com o relatório, o sequestro de links de convite do Discord envolve o uso de um link de convite legítimo compartilhado por comunidades para redirecionar os usuários para um servidor malicioso. As vítimas deste esquema são solicitadas a completar um carimbo de verificação, que envolve inserir vários detalhes para obter acesso total ao servidor. Isso é feito autorizando um bot, que as leva a um site falso onde são obrigadas a verificar as informações fornecidas. Após isso, os golpistas usam uma tática de engenharia social para enganar os usuários e infectar seus sistemas.

Agentes maliciosos roubam frases semente da carteira com malware

De acordo com o relatório, o malware Skuld é capaz de colher as frases semente das carteiras cripto das carteiras Exodus e Atomic. Ele realiza essa atividade usando uma abordagem chamada injeção de carteira, substituindo a versão original dos arquivos do aplicativo por versões carregadas com trojans baixados do GitHub. Outra carga útil é um coletor de informações Goland que pode ser baixado do Bitbucket. Ele é usado para roubar dados sensíveis do Discord, vários navegadores, carteiras cripto e plataformas de jogos.

A Check Point adicionou que também identificou outra campanha maliciosa sendo realizada pelo mesmo agente de ameaça, onde distribuiu o carregador como uma versão modificada de uma ferramenta de hack para desbloquear hams piratas. O programa, de acordo com o relatório, foi baixado 350 vezes no Bitbucket. As vítimas dessas campanhas estão principalmente localizadas nos Estados Unidos, França, Eslováquia, Holanda, Áustria, Vietnã e Reino Unido.

As descobertas mostram o último exemplo de como cibercriminosos têm visado a plataforma. "Esta campanha ilustra como um recurso sutil do sistema de convites do Discord, a capacidade de reutilizar códigos de convite expirados ou excluídos em links de convite personalizados, pode ser explorado como um vetor de ataque poderoso", disseram os pesquisadores. "Ao sequestrar links de convite legítimos, os agentes de ameaça redirecionam silenciosamente usuários desprevenidos para servidores maliciosos do Discord."