En una reciente investigación, Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), descubrió una falla en el sistema de invitaciones de Discord que permite a los atacantes secuestrar enlaces de invitación caducados o eliminados y redirigir secretamente a usuarios desprevenidos a servidores maliciosos. Los enlaces de invitación publicados por comunidades confiables meses atrás en foros, redes sociales o sitios web oficiales ahora podrían llevar discretamente a los usuarios a manos de ciberdelincuentes. Discord es una plataforma ampliamente utilizada y confiable, preferida por gamers, comunidades, empresas y otros usuarios que necesitan conectarse de forma segura y rápida.
Los atacantes aprovecharon una función de Discord que permite reutilizar enlaces de invitación caducados o eliminados, lo que les permitió secuestrar enlaces confiables de la comunidad y redirigir a los usuarios a servidores dañinos.
• El ataque engaña a los usuarios con un bot de verificación falso y un sitio de phishing que simulan servidores legítimos de Discord, lo que lleva a las víctimas a ejecutar, sin saberlo, comandos dañinos que descargan malware en su computadora.
• El malware se propaga silenciosamente en varios pasos utilizando servicios populares y confiables como GitHub y Pastebin para ocultar su actividad y evitar ser detectado.
• Los atacantes se dirigen principalmente a usuarios de criptomonedas y buscan ganar dinero robando credenciales e información de billetera de víctimas de todo el mundo. Se rastrearon más de 1300 descargas, con víctimas provenientes de varios países, incluyendo EE. UU., Vietnam, Francia, Alemania, Reino Unido y más, lo que pone de relieve la escala global y la motivación financiera detrás de la campaña.
CPR observó ataques reales en los que los actores de amenazas aprovecharon enlaces secuestrados para implementar sofisticados esquemas de phishing y campañas de malware. Estos incluyeron infecciones multietapa que evadieron la detección de herramientas antivirus y comprobaciones de sandbox, y que finalmente distribuyeron malware como AsyncRAT y Skuld Stealer. Este blog detallará el ataque y compartirá consejos prácticos para mantenerse protegido contra este tipo de ataques.
Para obtener detalles técnicos detallados, consulte nuestro informe de investigación completo. El riesgo oculto de los enlaces de invitación de Discord
Discord ofrece varios tipos de enlaces de invitación: temporales, permanentes y personalizados. Los enlaces temporales caducan tras un tiempo determinado, los permanentes nunca caducan, mientras que los enlaces personalizados son URL personalizadas disponibles solo para servidores premium (Nivel 3 de mejora).
La investigación reveló que los atacantes pueden explotar la forma en que Discord gestiona los códigos de invitación caducados o eliminados, especialmente los enlaces personalizados. Cuando un enlace de invitación personalizado caduca o un servidor pierde su nivel de mejora, el código de invitación puede volver a estar disponible. Los atacantes pueden entonces usar el mismo código y redirigir a los usuarios a un servidor malicioso.
En muchos casos, los usuarios encuentran estos enlaces en fuentes antiguas y fiables, sin tener motivos para sospechar que algo anda mal. Para colmo, la aplicación Discord a veces da a los usuarios la falsa impresión de que los enlaces temporales se han convertido en permanentes, lo que contribuye a la proliferación de códigos pirateables.
De enlaces de confianza a servidores maliciosos
Una vez pirateado un enlace de invitación, los atacantes redirigen a los usuarios a servidores maliciosos que imitan los legítimos de Discord. Los recién llegados suelen encontrar que la mayoría de los canales están bloqueados, excepto uno llamado "verificar". En este caso, un bot falso llamado "Safeguard" solicita a los usuarios que completen un paso de verificación.
Servidor malicioso de Discord al que se accede tras hacer clic en un enlace de invitación pirateado.
Al hacer clic en "verificar", se inicia un flujo OAuth2 y se redirige a los usuarios a un sitio de phishing muy similar a Discord. El sitio precarga un comando malicioso de PowerShell en el portapapeles y guía a los usuarios a través de un proceso de verificación falso. Esta técnica, conocida como "ClickFix", engaña a los usuarios para que ejecuten el comando a través del cuadro de diálogo Ejecutar de Windows.
Una vez ejecutado, el script de PowerShell descarga componentes adicionales de Pastebin y GitHub, iniciando una cadena de infección de varias etapas. Finalmente, el sistema se infecta con cargas útiles, como AsyncRAT, que proporciona a los atacantes control remoto, y Skuld Stealer, que ataca las credenciales del navegador y las billeteras de criptomonedas.
Resumen de la cadena de infección: Desde PowerShell hasta la entrega final de la carga útil del malware.
Una campaña en expansión y evolución
Esta campaña no es estática. Hemos observado que los atacantes actualizan periódicamente su descargador para mantener una tasa de detección cero en VirusTotal. También identificamos una campaña paralela dirigida a jugadores. En este caso, el cargador inicial estaba integrado en una herramienta de trampas troyanizada para Los Sims 4, lo que demuestra la flexibilidad de los atacantes para atacar a diferentes grupos de usuarios.
Impacto y alcance
El número exacto de víctimas es difícil de determinar debido al uso sigiloso de los webhooks de Discord para la exfiltración de datos. Sin embargo, las estadísticas de descargas de los repositorios utilizados en la campaña muestran más de 1300 descargas. Las víctimas se encontraban en todo el mundo, incluyendo Estados Unidos, Vietnam, Francia, Alemania, el Reino Unido y otros países.
El enfoque en el robo de credenciales y datos de monederos de criptomonedas indica una clara motivación financiera detrás del ataque.
Una plataforma confiable convertida en vector de ataque
Esta campaña ilustra cómo una característica sutil del sistema de invitaciones de Discord puede ser utilizada como arma. Al secuestrar enlaces confiables, los atacantes crearon una cadena de ataque efectiva que combinó ingeniería social con el abuso de servicios legítimos como GitHub, Bitbucket y Pastebin.
En lugar de utilizar una ofuscación robusta, los actores de amenazas recurrieron a técnicas más simples y sigilosas, como la ejecución basada en el comportamiento, las tareas programadas y el descifrado retardado de la carga útil.
Esta campaña destaca la creciente sofisticación de los ataques de ingeniería social que secuestran la confianza de los usuarios. En lugar de recurrir a malware altamente ofuscado, los atacantes utilizaron servicios legítimos y trucos de comportamiento sencillos para evadir la detección, lo que demuestra la facilidad con la que se pueden manipular plataformas populares cuando funciones básicas, como la gestión de enlaces de invitación, no están protegidas.
Discord ha desactivado el bot malicioso utilizado en esta campaña, pero las tácticas principales siguen siendo viables. Los atacantes pueden registrar fácilmente nuevos bots o cambiar de vector mientras continúan explotando el sistema de invitaciones.
Protección:
1. Verifica los enlaces de invitación: Inspecciona siempre las URL de invitación de Discord antes de hacer clic. Si un enlace proviene de una fuente antigua (por ejemplo, una publicación en un foro o un tuit), verifica primero su legitimidad.
2. Usa enlaces de invitación permanentes: Al administrar tus propios servidores de Discord, genera enlaces de invitación permanentes (que nunca caduquen). Evita publicar invitaciones temporales.
3. Comprueba la insignia de "Aplicación verificada" antes de autorizar bots: Interactúa solo con bots que muestren la insignia oficial de "Aplicación verificada" de Discord. Los bots no verificados pueden ser maliciosos. 4. Nunca ejecutes comandos desconocidos: Ningún servidor legítimo de Discord ni proceso de verificación debería exigirte ejecutar comandos de PowerShell ni pegar nada en la terminal de tu sistema. Detente e investiga si se te solicita.
5. Adopta defensas por capas: Para las organizaciones, combina la formación en seguridad con la protección de endpoints, la detección de phishing y herramientas de seguridad del navegador que puedan detener las amenazas antes de que se ejecuten.
6. Aprovecha la protección proactiva: Check Point Threat Emulation ofrece prevención en tiempo real contra malware avanzado, tácticas de phishing y amenazas basadas en archivos como las utilizadas en esta campaña, en la web, el correo electrónico y las herramientas de colaboración. Sus funciones de análisis de comportamiento y sandboxing ofrecen protección crítica contra la ingeniería social en constante evolución y los ataques de malware multietapa.
Read less 
Tabatinga
