해커가 Discord 메신저 자격 증명을 훔칠 수 있습니다.

AnarchyGrabber 악성 코드의 새로운 버전은 실제로 Discord(VoIP 및 화상 회의를 지원하는 무료 인스턴트 메신저)를 계정 도둑으로 만들었습니다. 이 악성코드는 Discord 서비스에 로그인할 때 사용자 계정을 도용하는 동시에 바이러스 백신에 보이지 않는 방식으로 Discord 클라이언트 파일을 수정합니다.

AnarchyGrabber에 대한 정보는 해커 포럼과 YouTube 동영상을 통해 유포되고 있습니다. 이 앱의 전제는 악성코드가 실행되면 등록된 Discord 사용자의 사용자 토큰을 훔친다는 것입니다. 그런 다음 이러한 토큰은 공격자가 제어하는 ​​Discord 채널에 다시 업로드되며 다른 사람의 사용자 자격 증명으로 로그인하는 데 사용될 수 있습니다.

악성코드의 원본 버전은 실행 파일로 배포되어 바이러스 백신 프로그램에서 쉽게 탐지할 수 있었습니다. AnarchyGrabber를 바이러스 백신으로 탐지하기 어렵게 만들고 생존 가능성을 높이기 위해 개발자는 Discord 클라이언트가 실행될 때마다 코드를 삽입하기 위해 Discord 클라이언트에서 사용하는 JavaScript 파일을 수정하도록 아이디어를 업데이트했습니다. 이 버전은 AnarchyGrabber2라는 원래 이름을 받았으며 실행 시 “%AppData%Discord[버전]modulesdiscord_desktop_coreindex.js” 파일에 악성 코드를 주입합니다.

AnarchyGrabber2를 실행한 후 아래와 같이 4n4rchy 하위 폴더에서 수정된 JavaScript 코드가 index.js 파일에 나타납니다.

이러한 변경 사항으로 인해 Discord를 시작할 때 악성 JavaScript 파일이 추가로 다운로드됩니다. 이제 사용자가 메신저에 로그인하면 스크립트는 웹후크를 사용하여 사용자의 토큰을 공격자의 채널로 보냅니다.

Discord 클라이언트의 이러한 수정이 문제가 되는 이유는 원래 악성 코드 실행 파일이 바이러스 백신에 의해 감지되더라도 클라이언트 파일이 이미 수정되었기 때문입니다. 따라서 악성 코드는 원하는 기간 동안 시스템에 남아 있을 수 있으며 사용자는 자신의 계정 데이터가 도난당했다는 의심조차 하지 않게 됩니다.

악성 코드가 Discord 클라이언트 파일을 수정한 것은 이번이 처음이 아닙니다. 2019년 XNUMX월에는 또 다른 악성 코드가 클라이언트 파일을 수정하여 Discord 클라이언트를 정보를 훔치는 트로이 목마로 바꾸는 것으로 보고되었습니다. 당시 디스코드 개발자는 이 취약점을 수정할 방법을 모색하겠다고 밝혔으나 아직 문제가 해결되지 않은 것으로 보입니다.

Discord가 시작 시 클라이언트 파일 무결성 검사를 추가할 때까지 Discord 계정은 메신저 파일을 변경하는 악성 코드로부터 계속 위험에 노출됩니다.

출처 : 3dnews.ru