黑客利用基于redtiger的信息竊取工具竊取Discord賬戶

據(jù)安全研究員觀察，攻擊者正利用開源紅隊(duì)工具RedTiger，構(gòu)建一款可竊取Discord賬戶數(shù)據(jù)與支付信息的信息竊取惡意軟件。該惡意軟件還能盜取瀏覽器中存儲(chǔ)的憑證、加密貨幣錢包數(shù)據(jù)及游戲賬號(hào)信息。

RedTiger是一款基于Python開發(fā)的滲透測(cè)試套件，支持Windows和Linux系統(tǒng)。其集成功能豐富，包括網(wǎng)絡(luò)掃描、密碼破解、開源情報(bào)（OSINT）相關(guān)工具、Discord專用工具，以及惡意軟件生成器。

RedTiger中的Discord相關(guān)工具

其中的信息竊取模塊具備標(biāo)準(zhǔn)竊取能力：可獲取系統(tǒng)信息、瀏覽器Cookie與密碼、加密貨幣錢包文件、游戲文件，以及Roblox和Discord相關(guān)數(shù)據(jù)。同時(shí)，它還能捕捉受害者的攝像頭快照與屏幕截圖。

盡管該項(xiàng)目在GitHub上標(biāo)注其危險(xiǎn)功能“僅允許合法使用”，但免費(fèi)無(wú)限制的分發(fā)模式，加之缺乏任何防護(hù)機(jī)制，使其極易被惡意濫用。

攻擊目標(biāo)與傳播方式：聚焦法國(guó)Discord用戶

RedTiger 的惡意軟件構(gòu)建器

據(jù)報(bào)告，威脅者目前正濫用RedTiger的信息竊取模塊，攻擊目標(biāo)主要集中在法國(guó)的Discord用戶。攻擊者通過(guò)PyInstaller將RedTiger的代碼編譯為獨(dú)立可執(zhí)行文件，并為其命名為與游戲或Discord相關(guān)的名稱，以誘導(dǎo)用戶點(diǎn)擊。

關(guān)于該惡意軟件的傳播途徑，尚未披露具體細(xì)節(jié)，但常見方式包括Discord頻道、惡意軟件下載網(wǎng)站、論壇帖子、惡意廣告及YouTube視頻。

攻擊流程：多維度竊取數(shù)據(jù)，通過(guò)云存儲(chǔ)傳輸

1. 植入與掃描：惡意軟件植入受害者設(shè)備后，會(huì)掃描Discord相關(guān)文件與瀏覽器數(shù)據(jù)庫(kù)文件；

2. 提取核心數(shù)據(jù)：通過(guò)正則表達(dá)式提取明文及加密的Discord令牌，驗(yàn)證有效性后，獲取用戶個(gè)人資料、郵箱、多因素認(rèn)證狀態(tài)與訂閱信息；

3. 注入腳本攔截行為：向Discord的index.js文件注入自定義JavaScript代碼，攔截API調(diào)用，捕捉登錄嘗試、購(gòu)買操作甚至密碼修改等事件，同時(shí)提取Discord中存儲(chǔ)的支付信息（如PayPal賬戶、信用卡信息）；

惡意軟件針對(duì)的 Discord 數(shù)據(jù)

4. 拓展竊取范圍：從瀏覽器中收集保存的密碼、Cookie、瀏覽歷史、信用卡信息及瀏覽器擴(kuò)展程序數(shù)據(jù)，同時(shí)捕捉桌面截圖，并掃描文件系統(tǒng)中的TXT、SQL及ZIP格式文件；

5. 數(shù)據(jù)傳輸：收集完所有數(shù)據(jù)后，惡意軟件會(huì)將文件歸檔，上傳至支持匿名上傳的云存儲(chǔ)服務(wù)GoFile，再通過(guò)Discord網(wǎng)絡(luò)鉤子（webhook）將下載鏈接與受害者元數(shù)據(jù)發(fā)送給攻擊者。

反檢測(cè)機(jī)制：多重手段規(guī)避分析

RedTiger具備完善的反檢測(cè)能力：內(nèi)置反沙箱機(jī)制，檢測(cè)到調(diào)試器時(shí)會(huì)自動(dòng)終止運(yùn)行；同時(shí)會(huì)生成400個(gè)進(jìn)程、創(chuàng)建100個(gè)隨機(jī)文件，以此干擾取證分析工作。

在主機(jī)上發(fā)送欺騙性文件和進(jìn)程來(lái)源

用戶應(yīng)避免從未經(jīng)驗(yàn)證的來(lái)源下載可執(zhí)行文件或游戲工具，例如模組、“修改器”或“加速器”。疑似遭入侵后，應(yīng)撤銷Discord令牌，修改相關(guān)密碼，并從官方網(wǎng)站重新安裝Discord桌面客戶端；清除瀏覽器中保存的各類數(shù)據(jù)；為所有賬戶啟用多因素認(rèn)證。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/hackers-steal-discord-accounts-with-redtiger-based-infostealer/