Check Point Research обнаружил активную кампанию, в которой злоумышленники эксплуатируют уязвимость в системе приглашений Discord. Атака основана на перехвате устаревших или удаленных ссылок-приглашений, которые перенаправляют пользователей на вредоносные серверы.
Описание
Злоумышленники регистрируют ссылки, ранее принадлежавшие доверенным сообществам, с помощью функции Discord Vanity URL. После этого пользователи, переходя по старым ссылкам, автоматически попадают на серверы, контролируемые хакерами.
Многоэтапная атака
Вредоносная кампания сочетает несколько техник:
- ClickFix - фишинговая схема, имитирующая проверку CAPTCHA.
- Многоэтапные загрузчики - скрытно доставляют вредоносные программы.
- Обход защиты времени - задержка выполнения вредоносного кода для уклонения от анализа в песочницах.
Целевые угрозы
Основные вредоносные программы, используемые в атаке:
- AsyncRAT - троян удаленного доступа, позволяющий злоумышленникам полностью контролировать систему.
- Skuld Stealer - специализированный стилер, нацеленный на криптокошельки.
Использование доверенных сервисов
Для доставки вредоносных нагрузок и кражи данных злоумышленники используют популярные облачные платформы: GitHub, Bitbucket, Pastebin и сам Discord. Это помогает атаке оставаться незамеченной, так как трафик выглядит легитимным.
Эволюция угрозы
Исследователи также обнаружили, что злоумышленники научились обходить защиту Chrome App Bound Encryption (ABE) с помощью модифицированного инструмента ChromeKatz, позволяющего красть куки из последних версий Chromium-браузеров.
Вывод
Атака демонстрирует, как доверенные платформы могут стать инструментами киберпреступников. Пользователям Discord рекомендуется избегать перехода по старым ссылкам-приглашениям и проверять актуальность серверов перед вступлением. Компании должны обновлять системы защиты и обучать сотрудников распознаванию фишинговых схем.
Индикаторы компрометации
