Discord desmantela el sitio Spy.pet que espiaba a millones de usuarios • The Register

Infosec en breve Dicen que la luz solar es el mejor desinfectante, y eso parece haber sido cierto en el caso del sitio de recolección de datos de Discord Spy.pet, ya que fue desmantelado recientemente y rápidamente después de que se conoció su existencia y propósito.

El sitio, que ha estado recopilando datos públicos sobre los usuarios de Discord desde noviembre del año pasado, fue revelado al mundo la semana pasada después de que se descubrió que la plataforma contenía mensajes pertenecientes a casi 620 millones de usuarios de más de 14.000 servidores de Discord.

Todos y cada uno de los datos estaban disponibles por un precio: Spy.pet se ofrecía para ayudar a las fuerzas del orden, a las personas que espiaban a sus amigos o incluso a quienes entrenaban modelos de IA.

Cuando se descubrió Spy.pet, Discord nos dijo que estaba trabajando para tomar medidas contra cualquiera que violara sus términos de servicio, pero que no podía compartir más.

Las cosas están un poco más claras ahora.

“Eliminar nuestros servicios y autobotear son violaciones de nuestros Términos de servicio y Pautas de la comunidad. Además de prohibir las cuentas afiliadas, estamos considerando acciones legales apropiadas”, nos dijo un portavoz de Discord. “Identificamos ciertas cuentas que creemos que están afiliadas al sitio web Spy.pet, que posteriormente prohibimos”.

Aparentemente, el raspado se logró mediante cuentas que accedían a servidores abiertos de Discord o aquellos con un enlace de invitación de fácil acceso. Una vez dentro, los operadores de Spy.pet solo podían acceder a los mismos datos que cualquier otro usuario, por lo que ninguna de la información que se cargaba era críticamente sensible, al menos en teoría.

La cantidad de servidores de Discord a los que Spy.pet reclamó acceso comenzó a gota la semana pasada antes de llegar a cero el jueves pasado. El viernes, el sitio web Spy.pet había dejado de funcionar, aunque no está claro si el sitio estaba fuera de línea debido a las acciones de Discord o si los operadores están tratando de desaparecer.

Según un perfil de Telegram que supuestamente pertenece al administrador de Spy.pet, el sitio web fue suspendido el viernes pasado, pero el administrador tiene planes de poner en funcionamiento un dominio de respaldo. No parece haber sido restaurado. Todavía.

Vulnerabilidades críticas de la semana

No hay mucho que informar, a menos que trabajes en el mundo de OT. En ese caso, hay algunas vulnerabilidades a tener en cuenta esta semana.

• CVSS 9.1 – Múltiples CVE: El software Honeywell Experion PKS, LX, PlantCruise, Safety Manager y Safety Manager SC contiene una serie de problemas que permiten RCE y otras explotaciones.
• CVSS 8.9 – Múltiples CVE: Los SCM de Hitachi Energy Mach controlan incorrectamente la generación de código, lo que permite la ejecución de código arbitrario.
• CVSS 8.7 – CVE-2024-2424: Los adaptadores Ethernet/IP Rockwell Automation 5015-AENFTXT validan incorrectamente la entrada, lo que permite a un atacante bloquear los dispositivos afectados.

Una vulnerabilidad conocida está bajo explotación activa esta semana: una vulnerabilidad de inyección de plantilla del lado del servidor en todas las versiones de CrushFTP anteriores a la 10.7.1 y 11.1.0 en todas las plataformas. La vulnerabilidad, CVE-2024-4040recibió una puntuación CVSS de 10.0, así que parcheelo lo antes posible.

Servidores de caché CDN: el nuevo lugar de moda para ocultar los droppers de malware

¿Ladrón de información? Controlar. ¿Archivos de host maliciosos? Compruébalo también.

Si desea engañar al software defensivo, ¿por qué no ocultar su carga útil en un servidor de caché CDN?

Los investigadores de inteligencia de amenazas de Talos han descubierto evidencia de una campaña de robo de información que se lleva a cabo desde febrero y hace precisamente eso. Se cree que es operado por actores de amenazas vietnamitas del grupo CoralRaider, el grupo está utilizando tres conocidos paquetes de malware de robo de información para hacer su trabajo sucio: Cryptbot, LummaC2 y Rhadamanthys.

Todos están al acecho en los servidores CDN, explicó Talos, para evitar retrasos en las solicitudes y “engañar a los defensores de la red”.

Detalles adicionales del ataque, COI y similares se incluyen en el informe de Talos.

Se han encontrado víctimas en Estados Unidos, Reino Unido, Alemania, Japón y otros países del mundo. En cada caso, se descubrió que la víctima estaba descargando un archivo de película de Internet que contenía el código malicioso, lo que, según Talos, indica un posible ataque de amplio alcance a usuarios de todos los sectores y ubicaciones comerciales.

Actualización antivirus secuestrada para distribuir malware

Tengan cuidado, lectores de India: el producto antivirus local eScan está teniendo sus actualizaciones secuestradas para entregar el bastante desagradable paquete de malware GuptizMiner.

Investigadores de Avast descubierto la campaña después de notar algunas respuestas inusuales provenientes de solicitudes de actualización de eScan en las computadoras de los clientes. Después de observar más de cerca lo que habían notado, resultó que alguien involucrado con GuptiMiner (que se cree que está vinculado con la APT Kimsuky norcoreana) estaba realizando un ataque de intermediario para explotar una inseguridad en el proceso de actualización para reemplazar archivos legítimos con archivos maliciosos.

“eScan descomprime y carga el paquete y los binarios limpios de eScan descargan una DLL. Esta DLL habilita el resto de la cadena, siguiendo con múltiples códigos de shell y cargadores de PE intermediarios”, explicó Avast.

Desafortunadamente, si bien Avast pudo descubrir qué estaban haciendo los delincuentes involucrados, los investigadores no pudieron determinar exactamente con qué precisión se llevó a cabo el ataque MITM.

“Asumimos que algún tipo de preinfección tenía que estar presente en el dispositivo de la víctima o en su red”, señaló Avast, pero no especuló más allá de eso.

eScan dijo que el problema se solucionó en una actualización de software en julio pasado, así que no olvides instalar este. ®

2024-04-29 02:29:00
1714362423
#Discord #desmantela #sitio #Spy.pet #espiaba #millones #usuarios #Register