Red Teaming tool 'RedTiger' misbruikt voor diefstal gegevens en Discord-accounts
Beveiligingsonderzoekers hebben een nieuwe infostealer gedetecteerd die de naam RedTiger draagt. Hoewel het oorspronkelijk is vrijgegeven als een open-source red teaming tool – software die ethische hackers gebruiken om de verdediging van een organisatie te testen – wordt RedTiger nu actief misbruikt door kwaadwillenden. De tool richt zich voornamelijk op gamers en de diefstal van inloggegevens voor Discord-accounts, maar experts waarschuwen voor een potentieel risico voor bedrijfsnetwerken.
Onderzoek van beveiligingsfirma Netskope toont aan dat RedTiger is gebaseerd op de programmeertaal Python en een reeks aanvallende functionaliteiten bundelt, waaronder netwerkscanning, open source intelligence (OSINT) en phishing-tools, naast de infostealer-functionaliteit en Discord-specifieke hulpmiddelen.
De werkwijze van de Infostealer
De primaire focus van de malware ligt op het stelen van gevoelige gegevens, met een bijzondere nadruk op Discord-accounts. De methode die RedTiger hiervoor gebruikt is bijzonder zorgwekkend:
- Discord-compromittering: De infostealer injecteert een aangepaste JavaScript-code in het
index.js-bestand van de Discord-client. Dit stelt de malware in staat om Discord-verkeer te monitoren en te onderscheppen, waardoor het voortdurend toegang behoudt tot accounts, zelfs nadat gebruikers hun wachtwoord hebben gewijzigd. - Gegevensdiefstal: Naast Discord-tokens verzamelt RedTiger een breed scala aan gevoelige informatie, waaronder browser-opgeslagen wachtwoorden, cookies, betalingsinformatie en gerelateerde bestanden van cryptocurrency-wallets.
- Aanvullende Spyware: De tool kan ook screenshots maken van het hostsysteem en heeft de mogelijkheid om via de webcam van het slachtoffer mee te kijken.
- Analysebelemmering: Om detectie en analyse te bemoeilijken, kan RedTiger het systeem overbelasten door massaal processen te starten en bestanden met willekeurige extensies aan te maken, wat de systeembronnen effectief uitput.
Potentieel gevaar voor bedrijven
Hoewel de huidige doelgroep voornamelijk bestaat uit gamers, waarschuwen beveiligingsexperts dat de architectuur van RedTiger een ernstige bedreiging vormt voor bedrijfsomgevingen. De capaciteit voor gegevensdiefstal en persistente toegang maakt de tool een effectieve initiële toegangspoort voor geavanceerdere dreigingen zoals ransomware-aanvallen of Business Email Compromise (BEC)-campagnes.
Het mechanisme voor data-exfiltratie, waarbij gearchiveerde gegevens worden geüpload naar cloudopslag (GoFile) en downloadlinks via Discord-webhooks worden verzonden, is een uitdaging voor traditionele perimeterverdedigingen.
De onderzoekers van Netskope benadrukken het belang van sterke beveiligingsmaatregelen, waaronder het gebruik van multi-factor authenticatie, om dergelijke infostealers die gericht zijn op accountcompromittering en gegevensdiefstal tegen te gaan.
Meer over Security
Over Witold Kepinski
