Discordの欠陥により、ハッカーはマルウェアキャンペーンで期限切れの招待を再利用できる

ハッカーは、期限切れまたは削除された Discord の招待リンクをハイジャックし、リモートアクセス型トロイの木馬や情報窃取マルウェアを配信する悪意のあるサイトにユーザーをリダイレクトしています。

このキャンペーンは、Discord招待システムの欠陥を利用して、複数のウイルス対策エンジンを回避する多段階感染を利用しています。

期限切れのDiscord招待を「復活」させる

Discord招待リンクは、特定のDiscordサーバーに参加するためのURLです。招待コードは、サーバーへのアクセスを許可する一意の識別子であり、一時的なもの、恒久的なもの、カスタムなもの（特別な特典を支払う「レベル3」サーバーが利用できるバニティリンク）があります。

レベル3のDiscordサーバーの特典として、管理者はパーソナライズされた招待コードを作成することができます。通常のサーバーでは、Discordが自動的にランダムな招待リンクを生成するため、1つの招待リンクが繰り返される可能性は非常に低い。

しかし、ハッカーたちは、レベル3サーバーがブーストステータスを失うと、カスタム招待コードが利用可能になり、他のサーバーが取り戻すことができることに気づいた。

サイバーセキュリティ企業チェック・ポイントの研究者によると、これは期限切れの一時的な招待や削除された永続的な招待リンクの場合にも当てはまるという。

彼らは、「カスタム招待リンクを作成する仕組みは、驚くことに、期限切れの一時的招待コードや、場合によっては削除された永久的招待コードを再利用することができる」と述べている。

さらに研究者によると、Discordの欠陥メカニズムでは、すでに生成された一時的な招待コードを永続的な招待リンクとして再利用する際、その有効期限を変更しない。

「ユーザはしばしば、このボックスにチェックを入れるだけで、既存の招待が恒久的なものになったと誤解する（そして、今回確認された攻撃で悪用されたのは、この誤解であった）。– チェック・ポイント

小文字と数字を含む招待コードは、それが有効である限り登録できません。しかし、コードが大文字の場合、元のコードが有効であっても、小文字のバニティ・リンクに再利用することができる。

チェック・ポイントの研究者は、Discordがバニティ・リンクを小文字で保存し比較するため、このようなことが可能になると説明している。その結果、小文字と大文字が混在する同じコードが、同時に2つの別々のサーバで有効になってしまう。

悪意のあるサーバーへのリダイレクト

攻撃者は、削除済みまたは期限切れの Discord 招待状を監視しており、チェック・ポイントによる悪意のあるペイロードのダウンロード数に基づき、米国、英国、フランス、オランダ、ドイツの 1,300 人のユーザーに影響を与えたキャンペーンに利用しています。

研究者によると、サイバー犯罪者は、合法的なコミュニティから Discord の招待リンクをハイジャックし、ソーシャルメディアやコミュニティの公式ウェブサイトで共有しているとのことです。ハッカーは、詐欺に信憑性を持たせるために、悪意のあるサーバーを本物に見えるようにデザインする。

悪意のあるDiscordサーバーは、訪問者に#verifyという1つのチャンネルだけを表示し、ボットがユーザーに認証プロセスを経るよう促します。

これを試みると、典型的な「ClickFix」攻撃が開始され、ユーザーはDiscordのUIを模倣したウェブサイトにリダイレクトされ、CAPTCHAの読み込みに失敗したかのように装われる。

ユーザーは騙されて、手動でWindowsの「ファイル名を指定して実行」ダイアログを開き、実行するためにクリップボードにコピー済みのPowerShellコマンドを貼り付ける。

こうすることで、PowerShellダウンローダー、難読化C++ローダー、VBScriptファイルを含む多段階の感染が引き起こされる。

最終的なペイロードは、正規のBitbucketソフトウェア・コラボレーションおよびファイル・ホスティング・サービスからダウンロードされ、以下のようなものが含まれます：

• AsyncRAT：「AClient.exe」として配信され、Pastebinを使用してC2アドレスを動的に取得するマルウェアのバージョン0.5.8です。その機能には、ファイル操作、キーロギング、ウェブカメラ／マイクへのアクセスが含まれます。
• Skuld Stealer：skul.exe」として配信されるこのマルウェアは、ブラウザの認証情報、クッキー、Discordトークン、暗号通貨のウォレットデータを狙う情報窃取ツールです（Discordウェブフックを使用してニーモニックフレーズやパスワードを窃取するJSを注入します）。
• ChromeKatz：オープンソースツールのカスタムバージョンで、’cks.exe’として提供され、クッキーとパスワードを盗むことができる。

また、マルウェアローダーを5分ごとに再実行するスケジュールタスクがホスト上に追加されていることも判明した。

この脅威から身を守るため、Discordユーザーには、古い招待リンク、特に数カ月前の投稿のリンクを信用しないこと、「検証」リクエストには細心の注意を払い、完全に理解していないコピーされたPowerShellコマンドを決して実行しないことが推奨されます。

さらに、Discordサーバー管理者は、乗っ取りがより困難なパーマネント招待を使用することを推奨します。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .

ITチームが手作業によるパッチ管理をやめる理由

かつてはパッチ適用といえば、複雑なスクリプト、長時間の作業、終わりのない消火訓練が必要でした。今は違います。

この新しいガイドでは、Tines氏が最新のIT組織が自動化によってどのようにレベルアップしているかを解説している。複雑なスクリプトは必要ありません。

無料ガイドを入手する