보안 뉴스) 디스코드를 타겟으로 하는 트로이목마 악성코드 발견

디스코드는 음성채팅 프로그램입니다.

 

이번에 발견된 악성코드는 디스코드의 사용자 계정을 탈취하기 위한 목적으로 설계되었습니다.

사용자의 비밀번호 등을 빼돌리고, 2중 보안을 해제하여 해킹하는 방식입니다.

 

이 글에서는 AnarchyGrabber라는 널리 사용되는 트로이 목마를 이용하여 사용자 토큰을 훔치는 악성코드를 소개하고 일반 사용자의 대비책을 안내합니다.

 

일단 AnarchyGrabber3가 한번 설치되면 악의적으로 사용자 정보를 빼 돌릴 수 있는 악성코드가 삽입됩니다.(정상적 코드와 함께 실행됩니다.)

 

최근 나온 AnarchyGrabber3 트로이목마 악성코드

대략 2주 전, AnarchyGrabber3는 강력한 기능을 탑재해 출현하였습니다.

 

이 변종 악성코드는 친구에게 메시지를 보내 AnarchyGrabber3을 설치하도록 요구합니다.

(아마 영어로 전송되어 한국 대상으로는 피해가 적을 겁니다. + Discord측도 이 문제를 알고 있어 해당 코드는 차단될 것)

 

이 악성코드가 설치된 지 확인하려면,

%AppData%\Discord\[version]\modules\discord_desktop_core\index.js 에서 확인이 가능합니다.

 

(Windows + R) "%AppData%" 검색 후 폴더를 찾아서 들어가면 됩니다.

Windows 키는 키보드에 윈도우 모양 입니다.

출처 https://www.bleepingcomputer.com/news/security/discord-client-turned-into-a-password-stealer-by-updated-malware/

정상적인 파일이라면, 위의 사진처럼 복잡한 코드가 아닌 아래 코드처럼 한 줄만 있습니다.

module.exports = require('./core.asar');

 

악성코드의 변조 파일이 설치된 위치입니다.

출처 https://www.bleepingcomputer.com/news/security/discord-client-turned-into-a-password-stealer-by-updated-malware/

 

이 악성코드가 설치된 환경에서는 로그인이 해제되며, 다시 로그인을 하도록 뜹니다.

 

로그인을 하게 되면 2차 보안 해제 + 이메일 주소, 아이디, 이름, 비밀번호, 인증 토큰, 비밀번호, IP주소를 공격자에게 전송하게 설계되어있습니다.

 

대응방법

만약 위의 내용처럼 악성코드가 삽입된 경우, 사용자가 할 수 있는 행동은 삭제 후 재설치입니다.

(악성코드가 설치 안 된 경우에 재설치하실 필요 없습니다.)

 

삭제를 하게 되면 해당 악성코드가 삭제되며, 재설치 시 악성코드가 없는 상태로 설치가 됩니다.

 

 

Q. 웹브라우저용 디스코드를 사용하는데 문제가 있을 수 있나요?

A. 아닙니다. 설치용 프로그램에서만 악성코드가 삽입될 수 있습니다.

 

Q. 위에서 언급한 파일을 열어보니까 module.exports = require('./core.asar'); 한 줄만 있어요 감염된 건가요?

A. 정상적인 경우입니다.

 

 

[ 출처 : https://www.bleepingcomputer.com/news/security/discord-client-turned-into-a-password-stealer-by-updated-malware/ ]