Discordアカウント乗っ取りexeファイルの関連話題まとめ

a1lic @a1lic

Beholder3.exeをIDAで開いたらデバッグシンボルとしてnode.pdbを落とそうとしてたから農奴.js系は確定やね… んで怪しいコードってのはこいつな。読めんけど。 pic.twitter.com/8SvmpbzNbs

拡大

аверы_артемис.py.bak @nullableVoidPtr

@a1lic 提供してください 俺このデコードしようとすることができます。

a1lic @a1lic

@nullableVoidPtr 本体は20MB、ダウンロードURLにします(安全のためスペースで分割しています) このファイルの後方に問題のコードがあります https: // cdn. discordapp. com / attachments / 480674434181627909 /941420030069997680 / Beholder3.exe

аверы_артемис.py.bak @nullableVoidPtr

@a1lic ありがとう、できました gist.github.com/nullableVoidPt…

аверы_артемис.py.bak @nullableVoidPtr

@a1lic 更新を取得するURLを参照します: hxxps://delightfultrivialagents[.]ayzhen[.]repl[.]co/raw/ariyorumneden (replit使って草) gist.github.com/nullableVoidPt…

a1lic @a1lic

@nullableVoidPtr ありがとうございます。素早い仕事、お見事です…

аверы_артемис.py.bak @nullableVoidPtr

@a1lic これをつかって: github.com/nullableVoidPt…

a1lic @a1lic

@nullableVoidPtr ありがとうございます、こういうすごい物を作れるのは尊敬ですね…

a1lic @a1lic

ドロッパーっぽい部分 元のコードは\x70\x43といった感じでエスケープシーケンス化されてる pic.twitter.com/25A80oEzQ7

拡大

a1lic @a1lic

本職の方の仕事速すぎて感動してる😭

a1lic @a1lic

しかしまぁ…ディスコ狙い撃ちしてんね…

a1lic @a1lic

トークンを収集して悪用する系、ですね…

a1lic @a1lic

ディスコのスクリプト群を改造してしまうから、ディスコ自体を完全削除するだけで良かった、けど、まぁ、念のため消した方が良い判断は責められない。(HDD初期化したアカウントを見ながら)

a1lic @a1lic

通常のアンインストール処理だと、書き換えたファイルは消してくれないケースがある。

ゆかたゆ @yukata_yu

挙動を見たら，VMかどうか判定して，VMの時には怪しい事しないようにしているっぽいのです。 少なくとも私よりかしこい。

a1lic @a1lic

ディスコが入っていないと何もしない感じなので、多分していないと思います

a1lic @a1lic

①ディスコのindex.jsを書き換えるドロッパー ②元のindex.js ③書き換わったindex.js pic.twitter.com/V1Wj77kAum

拡大

拡大

拡大

a1lic @a1lic

仮想マシンで動かしましたが、普通に感染しましたね… twitter.com/a1lic/status/1…

a1lic @a1lic

ドロッパーの永続化はされていないので、一度限りのようです。

a1lic @a1lic

とりあえず、解析した例のBeholder3.exeの動き ①Discordのプロセスをtaskkill ②Discordのインストール先にあるindex.jsを、外部からダウンロードしたトークン収集プログラムに置換 ③Discordを再起動 ④終了

a1lic @a1lic

Discordのコード自体が感染してしまってるので、その状態でログインとかしようものならパスワード変えても無駄になりますね。新しいトークンが送られるだけです。 twitter.com/a1lic/status/1…

ぽるぽ💞POLPOX @polpox_avenger

Discordアカウントが乗っ取られた話（1/6） ある夜、フレンドから一通のメッセージが飛んできました。画像（別のフレンド提供）と同じ文面で、“i just maded an cool game , can you test it and give a sweet feedback ? as i am struggling for some feedbacks😦”と飛んできました。 pic.twitter.com/m02YijoLA3

拡大

ぽるぽ💞POLPOX @polpox_avenger

（2/6） それ以前のフレンドとの交流でコンテキストを感じた私は、疑わずその発言に返信をつけます。すると、"SquidGameSetup.exe"なるexeファイルへのリンクが飛んできました。それをダウンロードし、実行してみたところDiscordがクラッシュし、ログイン画面まで戻りました。