В най-новата еволюция на  заплахите, които злоупотребяват със законна инфраструктура за нечисти цели, новите открития показват, че хакерски групи от национална държава са се включили в борбата за използване на социалната платформа за атакуване на критична инфраструктура.

През последните години Discord се превърна в доходоносна цел, действайки като благодатна почва за хостване на зловреден софтуер, използвайки своята мрежа за доставка на съдържание (CDN), както и позволявайки на крадците на информация да изтеглят чувствителни данни от приложението и да улесняват ексфилтрацията на данни чрез уеб куки.

„Използването на Discord до голяма степен се ограничава до крадци и грабители на информация, които всеки може да купи или изтегли от интернет“, казват изследователите на Trellix Ернесто Фернандес Провечо и Давид Пастор Санс в доклад от понеделник.

Но това може да се промени, тъй като фирмата за киберсигурност заяви, че е открила доказателства за артефакт, насочен към украински критични инфраструктури. Към момента няма доказателства, които да го свързват с известна група за заплахи.

„“Потенциалната поява на APT кампании за зловреден софтуер, използващи функционалностите на Discord, въвежда нов слой сложност в пейзажа на заплахите“, отбелязват изследователите.

Образецът представлява файл Microsoft OneNote, разпространяван чрез имейл съобщение, представящо се за нестопанската организация dobro.ua.

След като бъде отворен, файлът съдържа препратки към украински войници, за да заблуди получателите да направят дарение, като кликнат върху бутон с капани, в резултат на което се изпълнява Visual Basic Script (VBS), предназначен за извличане и стартиране на PowerShell скрипт, за да се изтегли друг PowerShell скрипт от хранилище в GitHub.

От своя страна, на последния етап PowerShell се възползва от уеб примка на Discord, за да екфилтрира системни метаданни.

„Фактът, че единствената цел на финалния полезен товар е получаването на информация за системата, показва, че кампанията е все още в ранен етап, което съответства и на използването на Discord като [командно-административна] функция“, казват изследователите.

„Важно е обаче да се подчертае, че в бъдеще групата може да достави по-сложен зловреден софтуер на компрометираните системи, като модифицира файла, съхраняван в хранилището на GitHub.“

Анализът на Trellix разкри още, че зареждащи програми като SmokeLoader, PrivateLoader и GuLoader са сред най-разпространените семейства зловреден софтуер, които използват CDN на Discord за изтегляне на полезен товар на следващ етап, включително крадци като RedLine, Vidar, Agent Tesla и Umbral.

Освен това някои от разпространените семейства зловреден софтуер, които са наблюдавани да използват уеб куки на Discord, са Mercurial Grabber, Stealerium, Typhon Stealer и Venom RAT.

„Злоупотребата с CDN на Discord като механизъм за разпространение на допълнителен полезен товар от зловреден софтуер показва адаптивността на киберпрестъпниците да използват приложения за сътрудничество за свои цели“, казват изследователите.

„APT са известни със своите сложни и целенасочени атаки, а чрез проникване в широко използвани комуникационни платформи като Discord те могат ефективно да установят дългосрочни опорни точки в мрежите, излагайки на риск критичната инфраструктура и чувствителните данни.“