Wie Cyberkriminelle Discord-Einladungen missbrauchen

Nicht zum ersten mal warnen Spezialisten vor Cybergaunern auf der Plattform Discord. Diesmal ist es der israelische Cybersecurity-anbieter Check Point, der die gefährlichen Machenschaften auf dem für ihre Community-Chats bekannten Plattform entlarvt. In seiner Mitteilung spricht Check Point von "ausgeklügelten Phishing-Angriffen und Malware-Kampagnen".

Abgelaufene Einladungen werden wieder gültig

Für ihre Attacke imitieren die Cyberschwindler echte Discord-Server und ihre Oberflächen täuschend echt. Und nicht nur dies: Sie schaffen es auch, frühere Einladungs-Links, die von seriösen Discord-Communities ausgegeben wurden, auf ihre gefälschten Server umzuleiten. Discord erlaubt nämlich, sogenannte temporäre Einladungs-Codes zu generieren, die nach einer gewissen Zeitspanne ablaufen. Allerdings, so Check Point, lassen sich diese alten Links reaktivieren und umleiten.

Gefährlich wird dies insbesondere dann, wenn jemand in einem öffentlichen Internetforum einen solchen Link einmal hinterlegt hat. Dort bleibe der Link auch verfügbar, wenn er abgelaufen ist, und locke potenzielle Opfer in die Falle.

Tricks mit Powershell und Co.

Der von Check Point aufgedeckte Albtraum geht jedoch noch weiter. Haben die Hacker ein mögliches Opfer auf ihrem Server, täuschen sie ein Verifikationsverfahren vor - auch dieses ist einer legitimen Community nachempfunden. Doch anstatt die Identität des jeweiligen Nutzers zu prüfen, versuchen die Cyberkriminellen, Schadcode auf dessen Rechner zu installieren. Konkret verleiten sie den User trickreich dazu, einen Befehl im Windows-Skriptprogramm Powershell ausführen zu lassen. "ClickFix " nennt sich diese Technik, wie Check Point ausführt. Das Powershell-Skript wiederum veranlasst "das Herunterladen zusätzlicher Komponenten von Pastebin und GitHub und startet somit eine mehrstufige Infektion des Zielrechners".

Um möglichst lange unter dem Radar von Erkennungs-Software zu fliegen, passen die Hacker ihre Kampagnen stets an, namentlich durch abgeänderte Downloader, wie Check Point ausführt. Und auch für den Fall, dass ihr Discord-Schwindel auffliegt und Discord den Missbrauch alter Links stoppt, haben sie vorgesorgt: Check Point berichtet von einer zweiten sehr ähnlich laufenden Attacke. Allerdings sei der erste Angriff hier nicht über einen Discord-Server erfolgt, sondern über ein mit Trojanern verseuchtes Cheat-Tool für das Videospiel "The Sims 4". "Die Hacker sind also flexibel genug unterwegs, um verschiedene Gruppen ins Visier zu nehmen", kommentiert Check Point.

Tipps für Discord-User

Discord hat inzwischen reagiert - ein bisschen. Laut Check Point legte die Plattform den von den Hackern genutzten schädlichen Bot still. Allerdings bleibe die zentrale Taktik anwendbar: "Hacker können einfach neue Bots registrieren oder neue Angriffswege gehen, während sie damit fortfahren, das Einladungs-System zu missbrauchen", heisst es in der Mitteilung.

Um nicht Opfer derartiger Vorfälle zu werden, gibt Check Point Discord-Usern diese Tipps auf den Weg:

• Einladungs-Links lieber doppelt prüfen: Immer die URL vor dem Klick auf Ungereimtheiten untersuchen und auch dann, wenn der Link aus einer alten, vertrauenswürdigen Quelle stammt (wie ein Forum-Post oder ein Tweet) die Legitimität dieser Quelle prüfen.

• Permanente Einladungs-Links bevorzugen: Betreibt man einen eigenen Discord-Server, sollten dauerhafte Links, die niemals erlöschen, ausgegeben werden. Temporäre sollte man zudem niemals veröffentlichen.

• Auf das Siegel "Verifizierte App" achten, bevor man Bots nutzt: Legitime Bots tragen das offizielle Discord-Siegel "Verifizierte App". Viele falsche Bots tragen es nicht.

• Niemals unbekannte Befehlszeilen ausführen lassen: Kein echter Discord-Server oder -Prozess sollte den Nutzer auffordern, einen PowerShell-Befehl ausführen zu lassen oder andere Codes in das Kommando-Fenster des Computers zu kopieren. Sollte man dazu aufgefordert werden, immer die Legitimität der Aufforderung prüfen.

Leider sind auch andere aus sozialen Netzwerken bekannte Betrugsmaschen auf Discord Gang und gäbe. Hier lesen Sie zum Beispiel eine Warnung des Bundes vor falschen Freunden auf der Plattform.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.