Το Discord γίνεται εργαλείο επίθεσης για τη διανομή malware

Ένα νέο κακόβουλο πρόγραμμα τύπου clipboard hijacker, αφαιρεί διακριτικά κρυπτονομίσματα από gamers και streamers, εκμεταλλευόμενο την εμπιστοσύνη μέσα σε κοινότητες του Discord.

Δείτε επίσης: HawkSec: Δεδομένα Discord βρίσκονται προς πώληση

Η καμπάνια βασίζεται σε ένα κακόβουλο πρόγραμμα για Windows, το οποίο διανέμεται ως δήθεν εργαλείο για streaming ή ασφάλεια. Μετά την εγκατάσταση, παρακολουθεί αθόρυβα το πρόχειρο του χρήστη, περιμένοντας να αντιγράψει μια διεύθυνση πορτοφολιού crypto.

Τη στιγμή που το θύμα επικολλά τη διεύθυνση σε ανταλλακτήριο, πορτοφόλι ή πεδίο πληρωμής, το κακόβουλο λογισμικό την αντικαθιστά με διεύθυνση που ελέγχει ο δράστης, ανακατευθύνοντας τα κεφάλαια χωρίς εμφανή ίχνη. Ο φορέας απειλής, γνωστός ως «RedLineCyber», στοχεύει διακομιστές Discord που σχετίζονται με gaming, τυχερά παιχνίδια και streaming κρυπτονομισμάτων.

Οι δράστες καλλιεργούν σχέσεις εμπιστοσύνης με τα μέλη των server, παρουσιάζονται ως δημιουργοί εργαλείων και αποστέλλουν ιδιωτικά ένα αρχείο με όνομα Pro.exe ή peeek.exe. Στα θύματα αναφέρεται ότι το εργαλείο θα τα βοηθήσει στη διαχείριση ή την προστασία των διευθύνσεων wallet κατά τη διάρκεια ζωντανών μεταδόσεων, ώστε να φαίνεται χρήσιμο και όχι ύποπτο.

Δείτε ακόμα: Το νέο VVS Stealer στοχεύει λογαριασμούς Discord μέσω Python

Πίσω από αυτή τη φιλική προσέγγιση κρύβεται μια στοχευμένη επιχείρηση κλοπής, ικανή να «αδειάσει» συναλλαγές αθόρυβα με μία και μόνο λανθασμένη επικόλληση. Οι αναλυτές της CloudSEK εντόπισαν τη δραστηριότητα παρακολουθώντας υπόγειες κοινότητες και κανάλια Discord που χρησιμοποιούνται από κυβερνοεγκληματίες.

Κατά τη διάρκεια αυτών των επιχειρήσεων συλλογής ανθρώπινης πληροφόρησης, οι ερευνητές ταυτοποίησαν τη ψεύτικη περσόνα «RedLine Solutions» και συνέδεσαν το κακόβουλο λογισμικό με ένα εκτελέσιμο αρχείο βασισμένο σε Python, πακεταρισμένο με PyInstaller.

Η ανάλυσή τους επιβεβαίωσε ότι το πρόγραμμα δεν λειτουργεί όπως τα κλασικά malware υποκλοπής πληροφοριών, αλλά περιορίζει τη δράση του σε μία και μόνο λειτουργία: τη χειραγώγηση δεδομένων του προχείρου που σχετίζονται με δημοφιλή κρυπτονομίσματα. Η σοβαρότητα της καμπάνιας έγκειται στο ότι στοχεύει τους χρήστες ακριβώς στο σημείο όπου η ανθρώπινη προσοχή είναι πιο χαλαρή. Πολλοί streamers και συχνοί traders αντιγράφουν και επικολλούν μεγάλες ακολουθίες διευθύνσεων χωρίς να ελέγχουν κάθε χαρακτήρα.

Δείτε επίσης: Hackers κλέβουν Discord accounts μέσω του RedTiger

Χάρη στη λειτουργία του χωρίς επικοινωνία command-and-control και στη χαμηλή κατανάλωση πόρων συστήματος, το κακόβουλο λογισμικό μπορεί να παραμένει ενεργό για μεγάλα χρονικά διαστήματα, περιμένοντας μεταφορές υψηλής αξίας. Ίχνη στο blockchain που συνδέονται με τις ενσωματωμένες διευθύνσεις wallet των δραστών δείχνουν ήδη κλοπές σε Bitcoin, Ethereum, Solana, Dogecoin, Litecoin και Tron.