招待状の暗い側面

Discordは、安全でスピードを上げる必要があるプレイヤー、コミュニティ、企業、その他が好む広く使用され、信頼できるプラットフォームです。最近の調査では、チェックポイント調査（CPR）がその招待システムの欠陥を明らかにしました 不和 これにより、侵略者は期限切れまたは削除された招待状リンクを占有し、疑いを持たないユーザーを悪意のあるサーバーで再発見できます。数か月前にフォーラム、ソーシャルメディア、または公式のウェブサイトで信頼できるコミュニティが公開した招待リンクは、ユーザーをサイバースペースの手に静かに導くことができました。

または チェックポイント調査（CPR） 彼は、脅迫的要因が侵害されたリンクを利用して洗練されたE-「フィッシング」とマルウェアキャンペーンを開発した現実の世界への攻撃を観察しました。これらには、サンドボックスウイルス保護ツールの検出から逃れた多段階感染症が含まれ、最終的にはAsyncratやSkuld Stealerなどのマルウェアを運びました。以下は、攻撃の詳細な分析と、そのような攻撃から一般の人々を保護するための実用的なヒントです。

Discordの招待リンクに対する隠された危険

Discordは、一時的、永続的、カスタマイズされた（カスタマイズされた）リンクなど、さまざまな種類の招待状リンクを提供しています。一時的なリンクは、指定された期間後に期限切れになり、永続的なリンクが期限切れになりませんが、カスタムリンクはプレミアムサーバー（3ブーストレベル）でのみ利用可能なカスタマイズされたURLです。私たちの調査により、侵略者は、Discordが期限切れまたは削除された招待コード、特にVanityリンクをどのように管理するかを活用できることが明らかになりました。カスタム招待状のリンクが失効するか、サーバーがステータスの強化を失うと、招待コードを再度利用できるようにすることができます。その後、侵略者は同じコードを請求し、ユーザーを悪意のあるサーバーにリダイレクトできます。

多くの場合、ユーザーはこれらのリンクを古くて信頼できる情報源で満たしており、何かが間違っていると疑う理由はありません。さらに悪いことに、Discordアプリケーションは、一時的なリンクが永続的になったという誤った印象をユーザーに与えることがあり、違反できるコードを増やすのに役立ちます。

悪意のあるサーバーへの信頼できるリンクによる

招待状リンクが違反されると、侵略者はユーザーを、Discordの法的サーバーを模倣する悪意のあるサーバーにリダイレクトします。新人は通常、「検証」と呼ばれるチャネルを除き、ほとんどのチャネルがロックされていることを発見します。ここで、「Safeguard」と呼ばれる偽のボットは、検証ステップを完了するようにユーザーに依頼します。

「検証」をクリックすると、OAUTH2フローが開始され、ユーザーがDiscordに非常に似た電子「フィッシング」サイトにリダイレクトされます。このサイトは、クリップボードの悪意のあるPowerShellコマンドをプリロードし、ユーザーを虚偽の検証プロセスに導きます。 「Clickfix」として知られるこの手法は、ユーザーを欺き、Windowsダイアログウィンドウを介してコマンドを実行します。

実行されると、PowerShellシナリオは、パステビンとGitHubから追加の要素をダウンロードし、マルチステージチェーンを開始します。最終的に、システムは、リモートコントロールの侵略者を提供するAsyncratなどの有益な負荷と、ブラウザー資格情報とHrytronomicウォレットをターゲットにするSkuld Stealerに感染します。

拡大して進化するキャンペーン

このキャンペーンは静的ではありません。侵略者が定期的にレセプションプログラムを更新して、Virustotalのゼロ検出率を維持するのを見てきました。また、プレーヤーをターゲットにした並行キャンペーンも見つけました。ここでは、元の読み込みプログラムがSims 4のTrojanチートツールに組み込まれ、さまざまなユーザーをターゲットにする侵略者の柔軟性を証明しました。

影響と範囲

犠牲者の正確な数は、データをエクスポートするためにDiscord Webhookが隠されているため、判断するのが困難です。ただし、キャンペーンで使用されているリポジトリからの回復統計では、1,300以上のショットが示されています。犠牲者は、米国、ベトナム、フランス、ドイツ、英国、その他の国など、世界中に散らばっていました。

資格情報とデータ暗号通貨の盗難に焦点を当てることは、攻撃の背後にある明確な経済的動機を示しています。

トロイの木馬に変換された信頼できるプラットフォーム

このキャンペーンは、Discord Invitation Systemの薄い機能を銃に変換する方法を示しています。信頼できるリンクに違反して、侵略者は、ソーシャルエンジニアリングとGitHub、Bitbucket、Pastebinなどの法的サービスの乱用を組み合わせた効果的な攻撃チェーンを作成しました。

激しい停電を使用する代わりに、脅迫的要因は、行動ベースのスケジュールされた作業や有用な負荷の復号化の遅延などのよりシンプルでより秘密のテクニックに基づいていました。

このキャンペーンは、ユーザーの信頼に違反するソーシャルエンジニアリング攻撃の複雑さの増加を強調しています。侵略者は、非常に不明瞭なマルウェアに依存する代わりに、検出を避けるために法的サービスと単純な行動トリックを使用し、管理管理などの基本的な機能が安全ではない場合に人気のあるプラットフォームを簡単に操作できることを示しました。

その後、Discordはこのキャンペーンで使用されている悪意のあるボットをオフにしましたが、基本的な戦術は実行可能です。侵略者は、招待システムの悪用を続けながら、新しいボットを簡単に登録したり、ベクターを変更したりできます。

保護されたまま

1.招待状のリンクをもう一度確認してください – クリックする前に、必ず不一致URLを確認してください。リンクが古いソース（たとえば、フォーラムの投稿やツイートなど）から来る場合は、最初にその合法性を確認してください。

2。永続的な招待状のリンクを好む – 独自のDiscordサーバーを管理するときは、永続的な（非エクスポート）招待状リンクを作成します。一時的な招待状の公開を公開しないでください。

3.ボットを承認する前に「確認済みアプリ」マーキングを確認します – 公式の不一致「検証済みアプリケーション」信号を表示するボットとのみ対話します。非検証ボットは悪意がある場合があります。

4.不明なコマンドを実行しないでください – 法的サーバーまたは不一致検証プロセスは、PowerShellコマンドの実行やシステム端末の任意のアイテムを貼り付ける必要はありません。あなたがそうするように求められているかどうかを停止して調査してください。

5.マルチレベルの防御を採用します – 組織の場合、セキュリティ認識トレーニングと、エンドポイント保護、電子「フィッシング」の検出、および実行される前に脅威を止めることができるブラウザ安全ツールを組み合わせてください。

6。予防保護を利用します： チェックポイントの脅威エミュレーションは、このキャンペーンで使用されているファイルなど、ファイル、Web、電子メール、コラボレーションツールなどのファイルに基づいて、高度なマルウェア、フィッシング、脅威よりも実際の予防を提供します。行動およびサンドボクシングの可能性は、ソーシャルエンジニアリングおよびマルチマルタリアの悪意のあるソフトウェア攻撃に対する進化する攻撃に対する重要な保護を提供します。