Ссылка-приглашение в Discord используется для доставки вредоносного ПО, нацеленного на криптокошельки

Обнаружена новая кампания вредоносного ПО, нацеленного на пользователей криптовалют через ссылки-приглашения в Discord. Согласно имеющейся информации, новое вредоносное ПО использует уязвимость в системе приглашений Discord для доставки инфостилера под названием Skuld и трояна удаленного доступа AsyncRAT.

В отчете Check Point упоминается, что злоумышленники перехватывают ссылки через регистрацию «ванити-ссылок» (vanity links), что позволяет им легко перенаправлять пользователей из доверенных источников на вредоносные серверы.

«Злоумышленники объединили технику фишинга ClickFix, многоэтапные загрузчики и обходные механизмы, зависящие от времени, чтобы незаметно доставить AsyncRAT и кастомизированный Skuld Stealer, нацеленный на криптокошельки», — говорится в отчете Check Point.

По данным платформы, одним из способов использования механизма приглашений Discord является то, что он позволяет злоумышленникам перехватывать истекшие или удаленные ссылки-приглашения и тайно перенаправлять недоверчивых пользователей на различные вредоносные серверы под их контролем. Это означает, что ссылка-приглашение в Discord, ранее распространенная в социальных сетях и на других форумах в законных целях, может быть использована для направления пользователей на их вредоносные серверы и платформы.

Ссылка-приглашение в Discord перехвачена в злонамеренных целях

Это развитие событий происходит чуть более чем через месяц после того, как кибербезопасная фирма обнаружила еще одну сложную фишинговую кампанию, которая перехватила истекшие ссылки на vanity-домены, чтобы заманить пользователей в присоединение к серверу Discord, инструктируя их посетить фишинговый сайт для подтверждения владения. Злоумышленники в конечном итоге использовали платформу для получения незаконного доступа к цифровым кошелькам пользователей и опустошения их кошельков после их подключения.

Хотя пользователям разрешено создавать временные, постоянные или пользовательские ссылки-приглашения на Discord, платформа не позволяет другим легитимным серверам reclaim (возвращать) ранее истекшую или удаленную ссылку-приглашение. Однако, если пользователь создает пользовательскую ссылку, он может повторно использовать истекшие коды приглашения и даже некоторые удаленные постоянные коды приглашения в некоторых случаях.

Эта возможность повторного использования истекших или удаленных кодов при создании пользовательских ванити-ссылок-приглашений позволяет преступникам злоупотреблять ею, причем большинство из них регистрируют их для своих вредоносных серверов. «Это создает серьезный риск: пользователи, переходящие по ранее доверенным ссылкам-приглашениям (например, на веб-сайтах, блогах или форумах), могут непреднамеренно перенаправляться на поддельные серверы Discord, созданные злоумышленниками», — говорится в отчете Check Point.

Согласно отчету, перехват ссылок-приглашений в Discord включает использование легитимной ссылки-приглашения, распространенной сообществами, для перенаправления пользователей на вредоносный сервер. Жертвам этой схемы предлагается пройти проверку с помощью специального штампа, что требует ввода нескольких данных для получения полного доступа к серверу. Это делается путем авторизации бота, который перенаправляет их на поддельный веб-сайт, где им предписывается подтвердить предоставленную информацию. После этого мошенники используют тактику социальной инженерии, чтобы обманом заставить пользователей заразить свои системы.

Злонамеренные лица крадут сид-фразы кошельков с помощью вредоносного ПО

Согласно отчету, вредоносное ПО Skuld способно извлекать сид-фразы из криптокошельков Exodus и Atomic. Оно осуществляет эту деятельность с помощью метода, называемого «инъекция кошелька» (wallet injection), подменяя оригинальные версии файлов приложения версиями, зараженными троянами, загруженными с GitHub. Другим полезным грузом является инфостилер Goland, который можно загрузить с Bitbucket. Он используется для кражи конфиденциальных данных из Discord, различных браузеров, криптокошельков и игровых платформ.

Check Point также добавила, что выявила еще одну вредоносную кампанию, осуществляемую тем же злоумышленником, в ходе которой загрузчик распространялся в виде модифицированной версии инструмента для взлома, предназначенного для разблокировки пиратских хамов. Согласно отчету, программа была загружена 350 раз с Bitbucket. Жертвами этих кампаний в основном являются жители США, Франции, Словакии, Нидерландов, Австрии, Вьетнама и Великобритании.

Эти выводы являются последним примером того, как киберпреступники нацеливаются на платформу. «Эта кампания иллюстрирует, как тонкая функция системы приглашений Discord — возможность повторного использования истекших или удаленных кодов приглашений в ванити-ссылках — может быть использована как мощный вектор атаки», — заявили исследователи. «Перехватывая легитимные ссылки-приглашения, злоумышленники незаметно перенаправляют недоверчивых пользователей на вредоносные серверы Discord».