Cyberkriminelle nutzen Discord-Einladungen für Malware-Angriffe

LONDON (IT BOLTWISE) – Eine neue Angriffskampagne von Cyberkriminellen zeigt, wie leicht vertrauenswürdige Plattformen wie Discord für bösartige Zwecke missbraucht werden können.

Cyberkriminelle haben eine ausgeklügelte Angriffskampagne entwickelt, die das Einladungssystem von Discord ausnutzt, um gefährliche Malware zu verbreiten. Diese umfasst unter anderem den Remote-Access-Trojaner AsyncRAT und Software zum Diebstahl von Kryptowährungen. Die Angreifer nutzen abgelaufene Discord-Einladungscodes und soziale Ingenieurtechniken, um ahnungslose Nutzer auf bösartige Server umzuleiten, die legitim erscheinen.

Der Angriff beginnt, wenn Bedrohungsakteure abgelaufene Discord-Einladungscodes überwachen und beanspruchen, insbesondere solche von geboosteten Servern mit Vanity-URLs. Wenn legitime Discord-Communities ihren Level-3-Boost-Status verlieren oder temporäre Einladungen ablaufen lassen, können Angreifer dieselben Codes für ihre eigenen bösartigen Server registrieren. Nutzer, die auf zuvor vertrauenswürdige Einladungslinks von Websites, Foren oder sozialen Medien klicken, werden unwissentlich auf gefälschte Discord-Server umgeleitet, die von Cyberkriminellen kontrolliert werden.

Die Forscher von Dark Atlas identifizierten diese Kampagne im Februar 2025 und stellten den Einsatz von ausgeklügelten mehrstufigen Infektionsketten fest, die ClickFix-Phishing-Techniken mit zeitbasierten Ausweichtaktiken kombinieren. Die Angreifer zielen speziell auf Kryptowährungsnutzer und Gamer ab und setzen sowohl AsyncRAT für die Fernsteuerung von Systemen als auch eine angepasste Variante von Skuld Stealer ein, die darauf ausgelegt ist, sensible Wallet-Informationen zu extrahieren.

Einmal auf dem gehackten Discord-Server angekommen, treffen die Nutzer auf einen scheinbar standardmäßigen Verifizierungsprozess über einen einzigen freigeschalteten Kanal, der typischerweise „#verify“ genannt wird. Ein bösartiger Bot, der oft vertrauenswürdig klingende Namen wie „Safeguard“ oder „TrustBot“ verwendet, fordert die Nutzer auf, die Verifizierung durch Klicken auf einen prominenten Button abzuschließen. Diese Interaktion löst eine sorgfältig orchestrierte Infektionssequenz aus, die sowohl das OAuth2-System von Discord als auch das Vertrauen der Nutzer ausnutzt.

Wenn Nutzer auf den Verifizierungsbutton klicken, werden sie auf eine externe Phishing-Website wie captchaguard[.]me umgeleitet, die die Benutzeroberfläche von Discord nachahmt und dabei heimlich bösartigen Code ausführt. Die Seite präsentiert eine gefälschte Verifizierungsseite mit einem grünen Schild-Logo und Sicherheitsmeldungen, aber das Klicken auf den „Verify“-Button kopiert stillschweigend einen bösartigen PowerShell-Befehl in die Zwischenablage des Nutzers.

Diese Kampagne stellt eine besorgniserregende Weiterentwicklung der Cyberkriminalitätstaktiken dar und zeigt, wie Angreifer legitime Plattformfunktionen und vertrauenswürdige Kommunikationskanäle missbrauchen können, um ausgeklügelte Malware zu verbreiten und dabei ein niedriges Erkennungsprofil aufrechtzuerhalten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!