DiscordのAPIをサイバー攻撃に悪用し、マルウェアを拡散する活動が確認される|セキュリティニュース

セキュリティニュース

投稿日時: 2025年04月01日更新日時: 2025年03月31日

DiscordのAPIをサイバー攻撃に悪用し、マルウェアを拡散する活動が確認される

セキュリティツールを開発するCYFIRMAは分析レポートでDiscordのAPIをサイバー攻撃に悪用し、トロイの木馬(RAT)を拡散する活動が確認された事を発表しました。

1 サイバー攻撃の概要
2 攻撃の主な特徴と動作
3 Discordを悪用したマルウェアにどう備えるか

サイバー攻撃の概要

このRATは、任意コマンドの実行、Chromeの保存パスワードの窃取、スクリーンショットの取得、さらにはDiscordサーバーそのものの操作まで可能とする、非常に多機能かつ悪質なマルウェア(トロイの木馬)です。

特に、個人・組織を問わず広く使われているDiscordのAPIを正規通信として利用しており、ネットワーク監視やアンチウイルスでは検知が困難な点が大きな特徴です。

攻撃の主な特徴と動作

ボット初期化とDiscordサーバーへの接続

Discord APIの「Bot Token」がスクリプト内にハードコードされており、情報漏洩や再悪用のリスクが非常に高い構成になっています。さらに、discord.ui.View を活用することで、遠隔操作のためのインターフェースを用意し、攻撃者が任意に操作できる状態を実現しています。加えて、全メッセージを読み取るintentが有効化されており、チャット内容の監視が可能になっています。

Google Chrome保存パスワードの窃取

このRATはChromeの「Login Data」ファイルへアクセスし、保存されているID・パスワードを抽出し、Discordを通じて攻撃者へと転送します。Chromeがインストールされていない場合などには、エラーメッセージも送信される仕組みです。

任意のシステムコマンド実行

スクリプトは任意コマンドの実行を許可しており、例えばcdコマンドを使ったディレクトリ移動なども含まれます。結果はDiscordを介して返却され、完全なシステム制御が攻撃者に委ねられます。

スクリーンショット取得

mssライブラリを用いて、感染端末の画面を随時キャプチャし、PNG形式でDiscordへ送信することで、攻撃者は視覚的に被害者の操作状況を把握できます。

永続化と再接続処理

Botは切断されても自動的に再接続を試みる仕組みが組み込まれており、半永久的に稼働し続けます。また、チャンネルが削除されても、ユーザー名やコンピュータ名を基に新たなチャンネルを自動作成し、制御パネルも再展開されます。

Discordサーバー自体の操作

Botはサーバー上のチャンネル削除・再作成といった操作を実行でき、必要に応じてレジストリの改変による自動起動設定の永続化なども可能です。

Discordを悪用したマルウェアにどう備えるか

エンドポイントの保護

エンドポイントの保護には、EDR（Endpoint Detection and Response）製品を導入し、Discordを介したマルウェア活動を検知できるようにシグネチャやルールを適切に設定する必要があります。また、Discord通信やAPI利用状況をプロキシやファイアウォール経由で可視化・制御する体制を整えるべきです。