Discord hat sich als zentrale Kommunikationsplattform für Gaming-Communities etabliert. Die Software bietet eine Vielzahl von Funktionen wie Text- und Sprachchats, Videotelefonie, Bildschirmfreigabe und spezialisierte Serverräume. Diese weitreichende Nutzung hat jedoch dazu geführt, dass Discord zunehmend ins Visier von Cyberkriminellen gerät, insbesondere durch missbräuchliche Einladungslinks.
Ein Hauptproblem ergibt sich aus der Art und Weise, wie Discord-Servereinladungen funktionieren. Angreifer sind in der Lage, alte oder gelöschte Einladungslinks zu übernehmen und umzuleiten. Nutzer, die auf solche manipulierten Links klicken, werden häufig auf scheinbar legitime Server weitergeleitet. Dort erfolgt in vielen Fällen eine Aufforderung zur Verifizierung durch einen Bot – ein Prozess, der vielen Discord-Anwendern aus legitimen Situationen ohnehin vertraut ist.
Durch die Erlaubnis, einen sogenannten Verifizierungs-Bot zu autorisieren, wird eine Kette von Aktionen ausgelöst. Das Ziel dieser Kette ist es, den Nutzer auf eine täuschend echte Phishing-Webseite zu führen. Dort sollen vertrauliche Informationen abgegriffen werden. Der gesamte Ablauf wird als „mehrstufige Nutzlastauslieferung“ beschrieben und ist technisch so gestaltet, dass das Risiko für die Betroffenen steigt.
Angriffsmethoden:
- Übernahme inaktiver oder gelöschter Einladungslinks
- Weiterleitung auf manipulierte Discord-Server
- Einsatz von Verifizierungs-Bots
- Initiierung eines Authentifizierungsprozesses mit Phishing-Seiten
- Mehrstufige Malware-Auslieferung auf Zielsysteme
Nicht nur Spieler sind potenziell betroffen, obwohl sie den Großteil der Discord-Nutzerschaft darstellen. Auch andere Personengruppen können über alternative Angriffswege ins Visier geraten. Beispielsweise wurde eine weitere Angriffsmethode dokumentiert, die über Raubkopien von Zusatzinhalten (DLCs) für Computerspiele wie The Sims 4 funktioniert.
Die Angreifer setzen häufig auf spezielle Schadsoftware, darunter Varianten von „AsyncRAT“ und modifizierte Versionen von „Skuld Stealer“. Diese Schadprogramme dienen vor allem dem Diebstahl von Zugangsdaten, Passwörtern und anderen sensitiven Informationen. Besonders im Fokus stehen Passwortdaten von Browsern sowie Zugangsdaten und Seed-Phrasen für Krypto-Wallets, insbesondere Exodus und Atomic-Wallets.
| Element | Beschreibung |
|---|---|
| Bot-Integration | Aufforderungen zur Bot-Autorisierung im Rahmen der Serververifizierung |
| Multi-Stufen-Attacke | Nutzung aufeinander abgestimmter Angriffsschritte bis zur Zielinfektion |
| Payloads | AsyncRAT, Skuld Stealer (modifiziert), JavaScript für Datendiebstahl |
| Zielobjekte | Zugangsdaten, Kryptowallets (insbesondere Exodus, Atomic) |
| Angriffsvektoren | Discord-Einladungslinks, manipulierte Software (z. B. gecrackte DLCs) |
Eine weitere Herausforderung entsteht durch die Persistenz der Schadsoftware. Angreifer nutzen beispielsweise geplante Aufgaben im Betriebssystem, die regelmäßig schädliche Komponenten erneut herunterladen und ausführen. Selbst wenn Nutzer erste Spuren der Infektion entfernen, kann der ursprüngliche Schadcode häufig erneut installiert und aktiviert werden. So bleibt eine Hintertür offen und die Kontrolle durch die Angreifer erhalten.
Die Bedrohungen durch diese Angriffe lassen sich in folgende Kategorien gliedern:
- Datendiebstahl: Entwendung von Passwörtern, Zugangsdaten und persönlichen Informationen
- Finanzielle Schäden: Besonders durch Diebstahl von Krypto-Assets und wallet-spezifischen Zugangsschlüsseln
- Systemkompromittierung: Ermöglichung von Fernzugriff und dauerhafter Kontrolle durch Dritte
- Identitätsmissbrauch: Nutzung gestohlener Discord- oder anderer Accounts für weitere bösartige Aktivitäten
Typischer Ablauf eines Angriffs:
- Versenden eines präparierten Einladungslinks zu einem Discord-Server
- Weiterleitung der Nutzer auf einen kontrollierten Server
- Aufforderung zur Verifizierung durch einen schädlichen Bot
- Start des Authentifizierungsablaufs mit Verlinkung auf Phishing-Seite
- Sammeln persönlicher Daten und Zugangsdaten
- Persistente Malware-Installationen zur Aufrechterhaltung des Zugriffs
- Exfiltration von Daten, vor allem Wallet-Daten und Passwörter
- Missbrauch der gewonnenen Informationen durch die Angreifer
Angreifer verfolgen in vielen Fällen eine finanzielle Motivation. Besonders die Integration von Schadcode, der auf Krypto-Wallets ausgerichtet ist, zeigt dies deutlich. Die erlangten Zugangsdaten und Seed-Phrasen von Wallets können direkt für Diebstähle verwendet oder weiterverkauft werden.
Bestandteile der Angriffsinfrastruktur:
- Spezialisierte Bots für die Serververifizierung
- Phishing-Webseiten, die dem Discord-Design nachempfunden sind
- Schadsoftware wie AsyncRAT und Skuld Stealer
- Geplante Tasks zur Reinfektion und Persistenz
- Discord-Webhooks zum Versand entwendeter Daten an die Angreifer
Discord arbeitet kontinuierlich daran, solche Missbrauchsszenarien einzudämmen und reagiert laut Angaben schnell auf gemeldete Bots und Angriffsversuche. Dennoch bleibt das Grundproblem bestehen, da entsprechende Techniken sich mit geringem Aufwand an neue Einfallstore oder Bot-Varianten anpassen lassen.
Schutzmaßnahmen für Nutzer:
- Skepsis gegenüber Einladungslinks oder Verifizierungsanfragen, besonders aus unbekannten Quellen
- Keine Autorisierung unbekannter Bots oder Webseiten
- Verwendung von Multi-Faktor-Authentifizierung, wo verfügbar
- Prüfung der Quelle von Software und Game-Inhalten
- Regelmäßige Updates und Sicherheitsüberprüfungen des eigenen Systems
Die Komplexität der Angriffsabläufe und die gezielte Nutzung vertrauenswürdiger Plattformelemente erschweren die Erkennung für Endanwender erheblich. Besonders problematisch ist, dass viele Schritte einem normalen Onboarding-Prozess gleichen und daher nicht sofort auffallen.
Übersicht der wichtigsten Bedrohungen:
| Angriffselement | Beschreibung |
|---|---|
| Servereinladungen | Missbrauch von Einladungsmechanismen für Phishing |
| Verifizierungs-Bots | Täuschung durch gefälschte Bot-Anfragen |
| Malware-Nachladung | Wiederholtes Installieren von Schadsoftware auf Zielsystemen |
| Datendiebstahl | Fokus auf Zugangsdaten, Wallets, persönliche Informationen |
Mit wachsendem Funktionsumfang und zunehmender Nutzerzahl wird Discord weiterhin eine attraktive Zielscheibe für Angriffe dieser Art bleiben. Regelmäßige Sicherheitsüberprüfungen und ein wachsames Verhalten bleiben daher essenziell, um die eigene Integrität zu schützen.
