Netskope安全研究人员发现了一种新的凭据窃取者TroubleGrabber，它通过Discord附件进行传播，并使用Discord Webhooks将窃取的信息传递给其操作员。
一些威胁行为者使用新的信息窃取程序来针对Discord服务器上的游戏玩家，并窃取其密码和其他敏感信息。
它的功能类似于配成AnarchyGrabber [另一恶意软件应变1，2，3 ]，感染不和谐的用户，也可用于收获凭证和禁用受害者的双因素认证（2FA）。
Netskope于2020年10月在收集先前报告的数据时发现了信息窃取者，在10月份针对Discord的1,650种恶意软件样本中，TroubleGrabber样本（检测为Razy变体）构成了85％以上。
恶意软件攻击流程
一旦受害者感染了TroubleGrabber，Discord和Github都可以将下一阶段的有效负载下载到C：/ temp文件夹。
该恶意软件还使用Discord Webhooks与它的命令和控制（C2）服务器进行通信并发送受害者的被盗信息。
TroubleGrabber窃取了许多重要信息，包括“ Web浏览器令牌，Discord Webhook令牌，Web浏览器密码和系统信息”。
恶意软件通过使用Discord Webhooks的聊天消息将所有收集到的信息发送到攻击者的Discord服务器。
该恶意软件是由威胁者创建的，该威胁者的名字为Itroublve。TroubleGrabber的作者当前运行的Discord服务器拥有500多名成员，并在其公共GitHub帐户上托管下一阶段的有效负载和恶意软件生成器。
Netskope还发现，该用户已使用YouTube教程了解如何使用TroubleGrabber设置自己的Discord服务器来托管恶意软件。
传播技术
TroubleGrabber众所周知，主要是通过Discord附件链接使用偷渡式下载将其传送到受害者的计算机上的。
Netskope说：“我们确定了1000多个生成的二进制文件，这些文件是通过开车下载URL分发的，文件名冒充游戏作弊，Discord安装程序和软件破解。”
该恶意软件通过Discord在97.8％的检测到的感染中进行了分发，“其中少量通过anonfiles.com和onymousfiles.io分发，这些服务允许用户匿名上传文件并免费生成公共下载链接。”
在某些情况下，信息窃取者还会在700多个不同Discord服务器通道ID的Discord用户中传播。
Netskope总结说：“基于文件名和传送机制，TroubleGrabber正积极地用于瞄准游戏玩家。”
Netskope的威胁实验室于11月10日与Discord，GitHub，YouTube，Facebook，Twitter和Instagram（攻击者使用了这些平台）共享了TroubleGrabber危害指标（IOC）。
*编译：Domino
*来自：bleepingcomputer