Trend Micro: Jogadores de ROBLOX são vítimas por meio de ataque malicioso ao app Discord

Segundo a Trend Micro - empresa especializada na defesa de ameaças digitais e segurança na era da nuvem –, o ataque aos gamers por parte dos cibercriminosos não é nenhuma novidade.

Em um caso recente, a empresa identificou um cenário em particular: ao invés do jogo sofrer a adulteração por parte dos cibercriminosos, agora são as ferramentas de comunicação utilizadas pelos jogadores que passaram a ser atacadas maliciosamente. É o caso do Discord, uma nova plataforma de chat que os gamers utilizam com frequência, com uma base de usuário de mais de 45 milhões de membros registrados.

ROBLOX

Este cenário de ataque envolve o ROBLOX, uma plataforma para múltiplos jogadores, altamente popular com mais de 178 milhões de contas registradas e mais de 12 milhões de usuários ativos mensalmente.

A plataforma também tem um elemento de networking social que incentiva os usuários a socializarem, jogar e criar conteúdo em conjunto, e ter participação nos lucros e nas despesas em ROBUX - a moeda virtual própria do jogo que pode ser trocada por dinheiro de verdade.

A vulnerabilidade maliciosa no Discord

Como o Discord aparece no modus operandi dos cibercriminosos no ataque aos jogadores do ROBLOX? Por meio de pesquisa feita pela Trend Micro, foi descoberto que os cibercriminosos estão se aproveitando de um recurso integrado da plataforma de chat - sua interface de programação de aplicativo (API) que permite executar os aplicativos e códigos criados pelo usuário. Ao fazer isso, os cibercriminosos podem roubar os cookies do navegador contendo as credenciais de login do ROBLOX de um sistema atacado que também usa o Discord.

No momento em que o recurso é maliciosamente adulterado, é permitido ao Discord, utilizar os webhooks. Um webhook é um recurso que permite que o programa de chat envie uma mensagem para um canal ou usuário específico. Assim, o Discord está realmente sendo usado como um canal de exfiltração de informação.

Este método particular de adulteração maliciosa pelos webhooks pode ser desarmado usando as etapas a seguir:

1.  O sistema alvejado é infectado com malware detectado pela Trend Micro como TSPY_RAPID. Este malware foi visto originalmente em um fórum de gamers onde o usuário que postou afirmou ser um “cheat app” que ajudaria os jogadores a modificar seus caracteres e assim ganhar uma vantagem desleal em relação aos outros players. Este malware tem um webhook do Discord codificado nele, como mostrado abaixo:

Print do código de malware com o webhook do Discord 

2.  O malware espera até detectar o ROBLOX no sistema da vítima. Feito isso, ele rouba o cookie da conta do game do usuário;

3.  O malware usa o Discord para enviar o cookie roubado para um canal específico ou usuário também conectado ao Discord;

4.  O cookie roubado é então usado para logar na conta do ROBLOX comprometido para roubar o ROBUX armazenado nele, possivelmente para ser trocado por dinheiro de verdade.

A Trend Micro identificou uma variante deste malware, a TSPY_RAPID.D que foi detectada para executar de forma persistente o sistema afetado, tornando possível obter novos cookies da conta do game sempre que o sistema executar o ROBLOX (e assim tornando as mudanças de senha inúteis).

Notificação de falha do Roblox fake

Ele também substitui o ROBLOX executável por uma versão maliciosa, além de exibir uma mensagem falsa informando a vítima que o processo do ROBLOX falhou.

Esta não é a única rotina maliciosa que os cibercriminosos podem obrigar o Discord (ou qualquer plataforma de chat similar) a executar por meio da adulteração da sua API. Na verdade, a análise da Trend Micro mostra que somente com algumas modificações, cibercriminosos criativos podem possivelmente transformá-lo em uma infraestrutura de Comando e Controle (C&C), permitindo que eles se comuniquem com seu malware sem ter que gastar os recursos para uma alternativa desenvolvida em casa.

Na pesquisa desenvolvida pela Trend Micro, “How Cybercriminals Abuse Chat Program APIs as Command-and-Control Infrastructure”, os usuários podem saber mais sobre este problema de segurança e aprender como solucioná-lo em casa ou no local de trabalho.

Soluções e medidas defensivas

O recurso de API do Discord é a chave para como a plataforma de chat funciona, e “limpá-lo” com a finalidade de proteção elimina sua funcionalidade, assim inutilizando o aplicativo. Isto apresenta um cenário em que o usuário só percebe o problema na segurança depois que o ataque já aconteceu, e o malware já está no sistema usando o Discord como um servidor C&C. Por este motivo, os usuários precisam considerar se vale a pena o risco de continuar usando a plataforma de chat.

Abaixo as recomendações da Trend Micro para usuários do Discord (e para usuários de quaisquer plataformas de chat):

·         Mantenha sempre uma solução de segurança instalada e atualizada no sistema para prevenir a infecção por malware, tal como os malwares citados aqui (TSPY_RAPID.A e TSPY_RAPID.D);

·         Nunca clique em links suspeitos, mesmo aqueles enviados por alguém da sua lista de amigos;

·         Não faça download de arquivos suspeitos, mesmo aqueles enviados por alguém da sua lista de amigos;

·         Não revele nenhuma informação pessoal na internet, mesmo quando for solicitado por alguém na sua lista de amigos.

Fonte: Sofia Lebrón - Comuniquese