Вредоносный код маскируется под легитимных ботов и выживает после обновлений Discord

Специалист по кибербезопасности, известный под псевдонимом Sydent, сообщил о находке вредоносного кода в репозиториях модифицированных Discord-клиентов. Речь идёт о бэкдоре, который он назвал «головной болью» для сообщества, поскольку тот способен переживать дообучение приложений и повторно активироваться даже после, казалось бы, полного удаления. Ключевая особенность угрозы в её способе доставки.

Злоумышленники помещают вредоносную логику внутрь конфигурационных файлов, которые имитируют код легитимных ботов для мессенджера. Клиент Discord, загружая такие сценарии, воспринимает их как доверенный внутренний компонент и беспрепятственно выполняет, не вызывая предупреждений у пользователя. В одном из образцов, проанализированных специалистом, бэкдор маскировался под широко известного бота для Node.js, предназначенного для перевода валюты Exo.

Вредоносный код был спрятан в минифицированной строке внутри JSON-файла таким образом, чтобы при отрисовке сообщения в чате скрытый участок активировал загрузку и выполнение произвольного кода на устройстве жертвы. Источником распространения стали модифицированные версии Discord для персональных компьютеров, распространяемые через неофициальные каналы. Автор находки указывает на пользователя с ником excepti0n как на распространителя заражённых репозиториев, что делает угрозу направленной на довольно широкую, но всё же технически подкованную аудиторию, использующую альтернативные сборки.

Механизм выживания бэкдора при обновлениях объясняется принципом работы самого клиента. Когда платформа загружает патч, вредоносный код в папках с плагинами и темами остаётся нетронутым, так как Discord не верифицирует их содержимое при запуске. Это позволяет малвари вновь активироваться сразу после завершения установки новой версии.

Ситуация усугубляется тем, что злоумышленники могут использовать атаку на цепочку поставок. Вредоносный код внедряется в кастомные темы и плагины, использующие зависимость под названием rev.ai, которая была специально модифицирована для скрытого выполнения сторонних команд на компьютере. Помимо угона токенов авторизации, обновлённый бэкдор способен на более глубокое взаимодействие с системой.

Он умеет навигировать по элементам DOM в интерфейсе мессенджера, что открывает возможности для автоматизированных манипуляций от имени жертвы, а также загружать и запускать дополнительные вредоносные файлы. Отдельную озабоченность вызывает метод обхода систем проверки подписи кода. Такой подход радикально отличает данную атаку от классических вирусов, поскольку позволяет вредоносному компоненту обновляться и менять поведение непосредственно из чата без оставления следов на диске.

Последствия этого инцидента могут быть шире, чем просто компрометация отдельных пользователей. Метод прятать бэкдор в конфигурациях, внешне неотличимых от кода легитимных ботов и плагинов, демонстрирует новую тенденцию в дизайне вредоносного ПО. Разработчикам сервисов, позволяющих кастомизацию через пользовательские скрипты, вроде Telegram или клиентов на базе открытого кода, стоит обратить внимание на невозможность полной очистки клиента без проверки хеш-сумм всех зависимостей.