Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Discord

Discord

Mata-mata Pribadi Dipekerjakan oleh FBI dan Perusahaan-Perusahaan Menyusup Perselisihan, Reddit, WhatsApp

by

Perusahaan “ancaman intelijen” terkemuka menciptakan persona online palsu untuk mendapatkan akses ke setiap sudut web.

Nampaknya persona internet anonim dengan avatar kartun anime di obrolan Discord (mungkin) sebenarnya adalah kontraktor yang dikirim untuk memata-matai Anda.

Mereka menciptakan identitas palsu dan nama pengguna palsu untuk mendapatkan akses ke platform seperti Discord, grup WhatsApp, forum Reddit, dan papan pesan web gelap.

Tujuan mereka adalah untuk mengumpulkan informasi pribadi dan membantu klien korporat dan pemerintah dalam memantau ancaman yang berpotensi, seperti peretas politik dan perdagangan ilegal sandi curian.

Beberapa perusahaan yang terlibat dalam industri ini termasuk ZeroFox, DarkOwl, Searchlight Cyber, Recorded Future, CyberInt, dan Flashpoint. Mereka bekerja sama dengan penegak hukum dan lembaga pemerintah, dan sering kali memiliki kontrak dengan mereka.

Namun, pengawasan yang lebih besar terhadap komunitas online pribadi juga memunculkan kekhawatiran tentang pelanggaran hak privasi dan kebebasan sipil. Industri ini masih sangat rahasia, dan informasi tentang praktik mereka terbatas.

DarkOwl, Searchlight Cyber, CyberInt, banyak dari perusahaan ini mempertahankan hubungan dekat dengan penegak hukum dan lembaga pemerintah. Beberapa saat ini terikat kontrak dengan Biro Investigasi Federal atau intelijen militer.

Setelah mendapatkan akses ke platform media sosial tradisional, pemerintah federal sekarang mengarahkan pandangannya pada komunitas online swasta di mana kelompok teroris, aktivis politik radikal, dan peretas dapat beroperasi dengan relatif bebas.

Perusahaan-perusahaan intelijen ancaman mengklaim bahwa mereka tidak melanggar persyaratan layanan saat mengakses ruang obrolan dan forum online. Keberadaan mereka meningkatkan kekhawatiran tentang pelanggaran kebebasan sipil dan hak konstitusional terhadap penggeledahan dan penyitaan yang tidak wajar.

Beberapa perusahaan intelijen ancaman, seperti ZeroFox dan DarkOwl, mengklaim bahwa semua tindakan mereka diperiksa oleh tim hukum dan mereka memberi tahu otoritas pemerintah ketika menemukan ancaman terhadap keamanan.

Sejumlah individu dan kelompok, termasuk Renée DiResta dari Stanford Internet Observatory, telah mendorong untuk lebih banyak pengawasan ruang obrolan dan komunitas game, menganggapnya sebagai ancaman intelijen.

Beberapa jurnalis mendesak tindakan keras terhadap platform perpesanan pribadi dan bahwa kurangnya visibilitas penegakan hukum terhadap platform seperti Discord menjadi perhatian.

Selengkapnya: Lee Fang

Perselisihan mengungkapkan pelanggaran data setelah agen pendukung diretas

by

Perselisihan memberi tahu pengguna tentang pelanggaran data yang terjadi setelah akun agen dukungan pihak ketiga disusupi.

Pelanggaran keamanan mengungkap antrean tiket dukungan agen, yang berisi alamat email pengguna, pesan yang dipertukarkan dengan dukungan Discord, dan lampiran apa pun yang dikirim sebagai bagian dari tiket.

Discord mengatakan segera menangani akun dukungan yang dilanggar dengan menonaktifkannya setelah insiden itu ditemukan.

“Karena sifat insiden tersebut, alamat email Anda, konten pesan layanan pelanggan, dan lampiran apa pun yang dikirim antara Anda dan Discord mungkin telah diekspos ke pihak ketiga,” kata Discord dalam surat yang dikirim ke pengguna yang terpengaruh.

“Segera setelah Discord mengetahui masalah ini, kami menonaktifkan akun yang disusupi dan menyelesaikan pemeriksaan malware pada mesin yang terpengaruh.”

Mereka juga bekerja dengan mitra layanan pelanggan untuk menerapkan langkah-langkah efektif guna mencegah insiden serupa di masa mendatang.

Jika Anda terpengaruh oleh pelanggaran data di Discord, awasi aktivitas yang mencurigakan, seperti upaya penipuan atau serangan phishing. Meskipun Discord menganggap risikonya minimal, lebih baik tetap berhati-hati.

“Meskipun kami yakin risikonya terbatas, Anda disarankan untuk waspada terhadap pesan atau aktivitas yang mencurigakan, seperti upaya penipuan atau phishing,” kata perusahaan itu.

Juru bicara Discord tidak membalas permintaan komentar saat BleepingComputer menghubungi hari ini.

Discord adalah pesan instan dan platform media sosial yang banyak digunakan dengan 150 juta pengguna aktif bulanan.

Selain itu, perusahaan mengklaim di situs webnya bahwa platform tersebut memiliki 19 juta server aktif setiap minggu.

Selengkapnya: Bleeping Computer

Tantangan TikTok ‘Invisible Body’ Dieksploitasi Untuk mendorong Malware

by

Peretas memanfaatkan tantangan TikTok yang sedang tren bernama ‘Tantangan Tak Terlihat’ untuk menginstal malware di ribuan perangkat dan mencuri kata sandi, akun Discord, dan, berpotensi, dompet cryptocurrency.

Tantangan TikTok yang baru dan sedang tren mengharuskan Anda memfilmkan diri Anda telanjang saat menggunakan filter “Tubuh Tak Terlihat” TikTok, yang menghapus tubuh dari video dan menggantinya dengan latar belakang buram.

Untuk memanfaatkan ini, pelaku ancaman membuat video TikTok yang mengklaim menawarkan filter “unfiltering” khusus untuk menghapus efek penyamaran tubuh TikTok dan mengekspos tubuh telanjang para TikToker.

perangkat lunak tersebut palsu dan menginstal malware “WASP Stealer (Discord Token Grabber)”, yang mampu mencuri akun Discord, kata sandi, dan kartu kredit yang disimpan di browser, dompet cryptocurrency, dan bahkan file dari komputer korban.

Video-video ini menerima lebih dari satu juta tampilan segera setelah diposting, dengan salah satu server Discord aktor ancaman mengumpulkan lebih dari 30.000 anggota.

Menargetkan tren TikTok
Pengguna TikTok yang sekarang ditangguhkan @learncyber dan @kodibtc membuat video untuk mempromosikan aplikasi perangkat lunak untuk “menghapus filter badan tak terlihat” yang ditawarkan di server Discord bernama “Space Unfilter.”

Pelaku ancaman telah memindahkan server Discord ini, tetapi Checkmarx menyatakan bahwa mereka memiliki sekitar 32.000 anggota pada satu titik.

Video TikTok yang diposting oleh penyerang (Checkmarx)

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Serangan ini sangat sukses sehingga repositori jahat tersebut telah mencapai status “proyek GitHub yang sedang tren”, dan meskipun telah diganti namanya, saat ini memiliki 103 bintang dan 18 garpu

Paket jahat menyalin kode asli tetapi berisi modifikasi untuk menginstal malware WASP di host.

“Serangan ini menunjukkan lagi bahwa penyerang dunia maya telah mulai memusatkan perhatian mereka pada ekosistem paket sumber terbuka; Kami percaya tren ini hanya akan meningkat pada tahun 2023.”

Server Discord “Unfilter Space” dibuat offline, dengan pelaku ancaman mengklaim telah pindah ke server lain.

sumber : bleeping computer

Penjahat siber menggunakan messaging apps untuk meluncurkan skema malware

by

Peneliti Intel 471 melaporkan bahwa penjahat siber memanfaatkan bot di dalam aplikasi perpesanan berbasis cloud populer seperti Discord dan Telegram untuk menyebarkan malware.

Bot biasanya digunakan untuk berbagi media, bermain game, saluran moderat, atau tugas otomatis lainnya yang dapat dibuat oleh pengembang.

Para peneliti mengatakan penjahat siber menggunakan platform tersebut untuk meng-host, mendistribusikan, dan menjalankan berbagai fungsi yang pada akhirnya memungkinkan mereka untuk mencuri kredensial atau informasi lain dari pengguna yang tidak sadar

Peneliti Intel 471 juga menemukan beberapa alat pencuri informasi yang tersedia secara bebas untuk diunduh yang mengandalkan Discord atau Telegram untuk fungsionalitasnya.

Salah satunya Blitzed Grabber, mereka menggunakan fitur webhook Discord sebagai cara untuk menyimpan data yang dieksfiltrasi melalui malware. Webhook menyediakan cara mudah untuk mengirim pesan otomatis dan pembaruan data dari mesin korban ke saluran pesan tertentu.

Pencuri ini dapat mencuri semua jenis informasi, termasuk data isi otomatis, bookmark, cookie browser, kredensial dari klien jaringan pribadi virtual (VPN), informasi kartu pembayaran, dompet cryptocurrency, informasi sistem operasi, kata sandi, dan kunci produk Microsoft Windows. Beberapa grabber, termasuk Blitzed Grabber, Mercurial Grabber, dan 44Caliber, juga menargetkan kredensial untuk platform game Minecraft dan Roblox.

Satu bot khusus Telegram, yang dikenal sebagai X-Files, memiliki fungsionalitas yang dapat diakses melalui perintah bot di dalam Telegram. Setelah malware dimuat ke sistem korban, pelaku jahat dapat menggesek kata sandi, cookie sesi, kredensial login, dan detail kartu kredit, dengan mengarahkan informasi itu ke saluran Telegram yang mereka pilih. X-Files dapat mengambil informasi dari berbagai browser, termasuk Google Chrome, Chromium, Opera, Slimjet, dan Vivaldi.

Peneliti Intel 471 juga telah mengamati pelaku ancaman yang menyalahgunakan infrastruktur cloud yang digunakan oleh aplikasi perpesanan untuk mendukung kampanye penyebaran malware. Banyak pelaku ancaman saat ini menggunakan jaringan pengiriman konten (CDN) Discord untuk meng-host muatan malware.

Sistem pengumpulan Intelijen Malware kami pertama kali mengamati teknik ini pada tahun 2019, tetapi berbagai pelaku ancaman masih menggunakannya. Operator malware tampaknya tidak menghadapi batasan apa pun saat mengunggah muatan berbahaya mereka ke CDN Discord untuk hosting file. Tautan terbuka untuk pengguna mana pun tanpa autentikasi, memberikan aktor ancaman domain web bereputasi tinggi untuk meng-host muatan berbahaya.

Keluarga malware yang diamati menggunakan Discord CDN untuk meng-host muatan berbahaya meliputi:

  • PrivateLoader
  • Discoloader
  • Colibri
  • Warzone RAT
  • Modi loader
  • Raccoon stealer
  • Smokeloader
  • Amadey
  • Agent Tesla stealer
  • GuLoader
  • Autohotkey
  • njRAT

Sebelumnya, Intel 471 telah mengamati peningkatan layanan di bawah tanah kejahatan dunia maya yang memungkinkan penyerang memanfaatkan bot Telegram dalam upaya untuk mencegat token kata sandi satu kali (OTP). Pelaku kejahatan terus membangun layanan ini, menjual aksesnya di berbagai forum kejahatan dunia maya.

Satu bot yang diamati oleh peneliti Intel 471 pada bulan April, yang dikenal sebagai Astro OTP, memungkinkan operator untuk mendapatkan kode verifikasi OTP dan layanan pesan singkat (SMS). Operator diduga dapat mengontrol bot secara langsung melalui antarmuka Telegram dengan menjalankan perintah sederhana.

Akses ke bot sangat murah, langganan satu hari dapat dibeli seharga US $25, dengan langganan seumur hidup tersedia seharga US $300.

Otomatisasi di platform perpesanan populer menurunkan bar-of-entry untuk aktor jahat. Sementara pencuri informasi saja tidak menyebabkan jumlah kerusakan yang sama seperti malware seperti penghapus data atau ransomware, mereka dapat menjadi langkah pertama dalam meluncurkan serangan yang ditargetkan terhadap perusahaan.

Sumber: Intel 471

Malware Builder Memanfaatkan Discord Webhooks

by

Malware Builder adalah program yang dapat membuat executable mereka sendiri di atasnya. Analis ancaman dari Uptycs menemukan sampel yang dijuluki “KurayStealer.” Menurut peneliti, malware tersebut telah digunakan untuk menargetkan pengguna Discord.

Penulis di balik KurayStealer jelas mengambil inspirasi – dan kode – dari serangan-serangan lainnya. “Kami telah melihat beberapa versi serupa lainnya beredar di repositori publik seperti github,” catat para peneliti, menyimpulkan bahwa “pembuat KurayStelaer memiliki beberapa komponen pencuri kata sandi yang berbeda.”

Saat pertama kali dijalankan, KurayStealer menjalankan pemeriksaan untuk menentukan apakah pengguna jahat menjalankan versi gratis atau “VIP” (berbayar).

Selanjutnya, ia mencoba untuk mengganti string “api/webhooks” dengan “Kisses” di BetterDiscord – versi diperpanjang dari aplikasi Discord, dengan fungsionalitas yang lebih besar untuk pengembang. Jika tindakan ini berhasil, peretas dapat merusak aplikasi untuk menyiapkan webhook.

Webhook adalah mekanisme di mana halaman web dan aplikasi dapat mengirim data waktu nyata satu sama lain melalui HTTP. Mereka seperti API, perbedaan utamanya adalah bahwa webhook mengirim informasi secara otomatis, tanpa memerlukan permintaan dari penerima.

Dengan webhook, program mengambil tangkapan layar dan mengambil lokasi geografis mesin target. Kemudian mulai berburu kredensial: mencari kata sandi, token, alamat IP, dan lainnya dari Discord, Microsoft Edge, Chrome, dan 18 aplikasi lainnya. Setiap data yang dijelajahi dalam proses ini disalurkan kembali ke penyerang melalui webhook.

Selengkapnya: Threat Post

Kampanye malware Discord menargetkan komunitas crypto dan NFT

by

Kampanye malware baru di Discord menggunakan crypter Babadeda untuk menyembunyikan malware yang menargetkan komunitas crypto, NFT, dan DeFi.

Babadeda adalah crypter yang digunakan untuk mengenkripsi dan mengaburkan muatan berbahaya dalam installer atau program aplikasi yang tidak berbahaya.

Mulai Mei 2021, aktor ancaman telah mendistribusikan trojan akses jarak jauh yang dikaburkan oleh Babadeda sebagai aplikasi yang sah di channel Discord bertema kripto.

Karena obfuscation yang kompleks, ia memiliki tingkat deteksi AV yang sangat rendah, dan menurut para peneliti di Morphisec, tingkat infeksinya meningkat pesat.

Rantai pengiriman dimulai di channel Discord publik yang memiliki audiens yang berfokus pada kripto, seperti penurunan NFT baru atau diskusi mata uang kripto.

Pelaku ancaman memposting di channel ini atau mengirim pesan pribadi ke calon korban, mengundang mereka untuk mengunduh game atau aplikasi.

Dalam beberapa kasus, para aktor meniru proyek perangkat lunak blockchain yang ada seperti game “Tambang Dalarna”.

Jika pengguna tertipu dan mengklik URL yang disediakan, mereka akan berakhir di situs umpan yang menggunakan domain cybersquatted yang mudah dilewati sebagai domain asli.

Domain ini menggunakan sertifikat LetsEncrypt yang valid dan mendukung koneksi HTTPS, sehingga semakin sulit bagi pengguna yang ceroboh untuk menyadari bahwa ini adalah penipuan.

Malware diunduh setelah mengklik tombol “Mainkan Sekarang” atau “Unduh aplikasi” di situs yang sudah dibuat oleh penyerang, bersembunyi dalam bentuk file DLL dan EXE di dalam arsip yang sekilas tampak seperti folder aplikasi biasa.

Jika pengguna mencoba untuk menjalankan installer, mereka akan menerima pesan kesalahan palsu untuk menipu korban agar berpikir bahwa tidak ada yang terjadi.

Namun, di latar belakang, eksekusi malware berlanjut, membaca langkah-langkah dari file XML untuk mengeksekusi utas baru dan memuat DLL yang akan menerapkan persistence.

Selengkapnya: Bleeping Computer

Discord Menjadi Jembatan Besar Penyebaran Malware

by

Fitur Utama dan Content Delivery Network Discord digunakan untuk mengirim file berbahaya—termasuk RAT—ke seluruh jaringannya yang terdiri dari 150 juta pengguna, yang membahayakan perusahaan.

Threat actors menyalahgunakan fitur inti dari platform komunikasi digital Discord yang populer untuk terus-menerus mengirimkan berbagai jenis malware—khususnya trojan akses jarak jauh (RAT) yang dapat mengambil alih sistem—menempatkan 150 juta penggunanya dalam risiko, menurut RiskIQ dan CheckPoint.

Keduanya menemukan malware multi-fungsi yang dikirim dalam pesan di seluruh platform, yang memungkinkan pengguna untuk mengatur server Discord ke dalam saluran berbasis topik di mana mereka dapat berbagi file teks, gambar atau suara atau executable lainnya. File-file itu kemudian disimpan di server Jaringan Pengiriman Konten (CDN) Discord.

Para peneliti memperingatkan, “banyak file yang dikirim melalui platform Discord berbahaya, menunjukkan sejumlah besar penyalahgunaan CDN yang di-hosting sendiri oleh aktor dengan membuat saluran dengan tujuan tunggal mengirimkan file berbahaya ini,” menurut sebuah laporan yang diterbitkan Kamis oleh Tim RiskIQ.

Awalnya Discord menarik para gamer, tetapi platform tersebut sekarang digunakan oleh organisasi untuk komunikasi di tempat kerja. Penyimpanan file berbahaya di CDN Discord dan proliferasi malware di platform berarti bahwa “banyak organisasi dapat mengizinkan lalu lintas buruk ini ke jaringan mereka,” tulis peneliti RiskIQ.

RAT dan Malware Lain-lain
Fitur malware terbaru yang ditemukan di platform termasuk kemampuan untuk mengambil tangkapan layar, mengunduh dan mengeksekusi file tambahan, dan melakukan keylogging, peneliti CheckPoint Idan Shechter dan Omer Ventura diungkapkan dalam laporan terpisah yang juga diterbitkan Kamis.

CheckPoint juga menemukan bahwa Discord Bot API—implementasi Python sederhana yang memudahkan modifikasi dan mempersingkat proses pengembangan bot di platform—“dapat dengan mudah mengubah bot menjadi RAT sederhana” yang dapat digunakan oleh pelaku ancaman “untuk mendapatkan akses penuh dan jarak jauh. kontrol pada sistem pengguna.”

Bot Discord menjadi bagian yang semakin integral dari cara pengguna berinteraksi dengan Discord, memungkinkan mereka untuk mengintegrasikan kode untuk fitur yang disempurnakan guna memfasilitasi manajemen komunitas, kata para peneliti.

“Bot perselisihan tampaknya kuat, ramah, dan sangat menghemat waktu,” tulis Shechter dan Ventura. “Namun, dengan kekuatan besar juga ada tanggung jawab besar, dan kerangka kerja bot Discord dapat dengan mudah digunakan untuk niat jahat.”

Peneliti CheckPoint menemukan beberapa repositori berbahaya di antara GitHub yang relevan untuk platform Discord. Repositori ini termasuk malware berdasarkan Discord API dan bot jahat dengan fungsi berbeda, kata mereka.

Sementara itu, peneliti RiskIQ memeriksa URL CDN Discord yang berisi .exe, DLL dan berbagai dokumen dan file terkompresi, menemukan setelah meninjau hash di VirusTotal bahwa lebih dari 100 mengirimkan konten berbahaya. Delapan puluh file berasal dari 17 keluarga malware yang berbeda, dengan trojan yang terdiri dari malware paling umum yang diamati di platform, kata para peneliti.

Secara khusus, peneliti RiskIQ mempelajari lebih dalam bagaimana Discord CDN menggunakan domain Discord melalui tautan yang menggunakan [hxxps://cdn.discordapp[.]com/attachments/{ChannelID}/{AttachmentID}/{filename}] sebagai format untuk menemukan malware, kata mereka.

Para peneliti mendeteksi tautan dan menanyakan ID saluran Discord yang digunakan dalam tautan ini, yang memungkinkan mereka mengidentifikasi domain yang berisi halaman web yang tertaut ke tautan CDN Discord dengan ID saluran tertentu, kata mereka.

“Misalnya, platform RiskIQ dapat menanyakan ID saluran yang terkait dengan zoom[-]download[.]ml,” jelas peneliti. “Domain ini mencoba menipu pengguna agar mengunduh plug-in Zoom untuk Microsoft Outlook dan sebagai gantinya mengirimkan pencuri kata sandi Dcstl yang dihosting di CDN Discord.”

Dalam contoh lain, RiskIQ menemukan bahwa ID saluran untuk URL yang berisi file pencuri kata sandi Raccoon mengembalikan domain untuk Taplink, sebuah situs yang menyediakan halaman arahan mikro kepada pengguna untuk mengarahkan individu ke halaman Instagram dan media sosial lainnya, jelas mereka.

“Seorang pengguna kemungkinan menambahkan tautan Discord CDN ke halaman Taplink mereka,” jelas para peneliti. “Meminta ID ini memungkinkan pengguna RiskIQ untuk memahami file Discord mana dan infrastruktur terkait yang bersangkutan dan di mana mereka berada di seluruh web.”

Teknik ini memungkinkan peneliti untuk menentukan tanggal dan waktu saluran Discord dibuat, menghubungkan yang dibuat dalam beberapa hari sebelum pengamatan pertama dari file di VirusTotal ke saluran dengan tujuan tunggal mendistribusikan malware, kata mereka. Pada akhirnya, mereka menemukan dan membuat katalog 27 jenis malware unik yang dihosting di CDN Discord.

source: THREATPOST