Qué es el malware DISGOMOJI
A menudo parece que una vez que has leído sobre un tipo de malware, has oído hablar de la mayoría. Pero entonces un operador de malware comienza a usar emojis para comunicarse con tus dispositivos infectados y hay que prestar atención.
Descubierto por primera vez por el equipo de investigación de seguridad Volexity, el malware DISGOMOJI tiene un identificador único: utiliza emojis de Discord para ejecutar comandos en dispositivos infectados (Discord es un servicio de mensajería instantánea y chat de voz VolP).
¿Qué es el malware DISGOMOJI?
Volexity descubrió el malware DISGOMOJI en junio de 2024, vinculándolo con un grupo con sede en Pakistán rastreado como UTA0137.
El malware se dirige a dispositivos Linux que utilizan la distribución BOSS, utilizada principalmente por agencias gubernamentales de la India. Sin embargo, en teoría podría usarse contra cualquier distribución de Linux y está escrito en el lenguaje de programación adaptable Golang.
Sin embargo, la parte más interesante de DISCOMOJI es el uso de emojis de Discord para controlar dispositivos infectados. En lugar de enviar comandos usando palabras, como ocurre con la mayoría del malware, el operador DISCOMOJI puede enviar un emoji de Discord específico para solicitar una acción.
¿Cómo funciona el malware controlado por emojis?
En primer lugar, se debe instalar el malware para que el atacante obtenga el control del dispositivo objetivo. Al dispositivo de destino se le envía un documento falso que contiene el archivo malicioso que, cuando se ejecuta, descarga el malware DISCOMOJI. Cuando se inicia, DISCOMOJI roba datos de la máquina de destino, como su información local, nombres de usuario, nombre de host, el directorio en el que está instalado el malware y datos de cualquier dispositivo USB conectado.
Luego, el malware se conecta a un servidor de Discord controlado por el atacante y llama a casa para esperar nuevas instrucciones. Los atacantes usan algo llamado discord-c2, un proyecto de control y comando de código abierto que utiliza Discord como punto de control para dispositivos infectados. Una vez que el malware se conecta al servidor de Discord, el atacante puede usar una variedad de emojis para avisar al malware, con una serie de diferentes parámetros disponibles.
Los emojis de malware de Discord se resumen a continuación:
|
Emoji |
Emoji Name |
Command Description |
|---|---|---|
|
🏃♂️ |
Man Running |
Execute a command on the victim's device. This command receives an argument, which is the command to execute. |
|
📸 |
Camera with Flash |
Take a screenshot of the victim's screen and upload it to the command channel as an attachment. |
|
👇 |
Backhand Index Pointing Down |
Download files from the victim's device and upload them to the command channel as attachments. This command receives one argument, which is the path of the file. |
|
☝️ |
Index Pointing Up |
Upload a file to the victim's device. The file to upload is attached along with this emoji. |
|
👉 |
Backhand Index Pointing Right |
Upload a file from the victim's device to Oshi ( |
|
👈 |
Backhand Index Pointing Left |
Upload a file from the victim's device to |
|
🔥 |
Fire |
Find and send all files matching a pre-defined extension list that are present on the victim's device. Files with the following extensions are exfiltrated: CSV, DOC, ISO, JPG, ODP, ODS, ODT, PDF, PPT, RAR, SQL, TAR, XLS, ZIP |
|
🦊 |
Fox |
Zip all Firefox profiles on the victim's device. These files can be retrieved by the attacker at a later time. |
|
💀 |
Skull |
Terminate the malware process using |
Es lindo pero extraño pensar que los emojis que usas todos los días se usan para controlar el malware.
¿Tiene algún sentido el malware controlado por emojis?
Además de hacerlo más fácil de usar, el uso de emojis para comandos y comunicaciones podría ayudar a que el malware pase desapercibido por más tiempo. Ciertamente, Discord puede tener dificultades para detectar que sus servidores se están utilizando para ejecutar un proyecto C2 malicioso si todo lo que hace es enviar emojis de uso común.
"La forma en que el malware administra los tokens de Discord hace que sea más difícil para Discord actuar contra los servidores del atacante, ya que el atacante puede simplemente actualizar la configuración del cliente cuando sea necesario".
Entonces, si la persistencia es el nombre del juego, usar emojis podría resultar útil.
En cuanto a la seguridad, este malware se dirige principalmente a una distribución de Linux específica utilizada en las agencias gubernamentales de la India, lo que significa que la mayoría de la gente común y corriente no tiene nada de qué preocuparse. Aún así, mantén siempre tus dispositivos actualizados, ya que nunca se sabe qué amenaza podría aparecer a continuación.
