Eater
RedTiger-malware richt zich op Discord-gebruikers
Een nieuw type malware genaamd RedTiger duikt de afgelopen maanden steeds vaker op. Hoewel het hulpmiddel oorspronkelijk bedoeld was voor security testing en red teaming, wordt het nu actief misbruikt door cybercriminelen om gamers en Discord-gebruikers aan te vallen.
Het open source-hulpmiddel, ontwikkeld in Python en uitgebracht in 2024, bevat modules voor netwerkanalyse, phishing, OSINT en gegevensverzameling. Vooral de ingebouwde infostealer wordt door kwaadwillenden gebruikt om persoonlijke en financiële informatie te stelen.
Volgens een analyse van Netskope Threat Labs richt RedTiger zich met name op het stelen van Discord-accounts. De malware injecteert aangepaste JavaScript-code in de Discord-client om accountgegevens, betalingsinformatie en tokens af te vangen. Zelfs als een slachtoffer het wachtwoord of e-mailadres wijzigt, kan de malware via deze methode nieuwe inloggegevens blijven verzamelen.
Daarnaast verzamelt RedTiger browsergegevens, zoals opgeslagen wachtwoorden, cookies, creditcardinformatie en browsegeschiedenis. Ook crypto-wallets en game-accounts, waaronder Roblox, worden actief doorzocht op bruikbare gegevens. De malware maakt gebruik van bestaande Python-bibliotheken om browsercookies uit te lezen en API-verzoeken te doen voor het ophalen van gebruikersinformatie.
Meerdere mechanismen om detectie te voorkomen
De exfiltratie van gestolen data verloopt in twee fases. Eerst worden alle verzamelde bestanden gecomprimeerd en geüpload naar GoFile, een gratis cloudopslagdienst waarvoor geen account nodig is. Vervolgens stuurt RedTiger de downloadlink en systeeminformatie van het slachtoffer naar de aanvaller via een Discord-webhook. Dit maakt de operatie grotendeels anoniem en moeilijk te traceren.
De malware bevat ook verschillende mechanismen om detectie te vermijden, zoals het beëindigen van processen op virtuele machines of testomgevingen en het blokkeren van verbindingen met beveiligingswebsites door de hosts-file aan te passen. Om forensisch onderzoek te bemoeilijken, lanceert RedTiger gelijktijdig ongeveer vierhonderd processen en maakt het honderd willekeurige bestanden aan, wat systemen vertraagt en logbestanden vervuilt.
Volgens Netskope is het niet helemaal duidelijk hoe de malware wordt verspreid, maar andere bronnen noemen uiteenlopende methoden. Vermoedelijk circuleren geïnfecteerde RedTiger-bestanden via Discord-kanalen, kwaadaardige downloadsites, forumposts, misleidende advertenties en YouTube-video’s die zich voordoen als gamehacks of prestatieboosters. Dit sluit aan bij de bredere trend waarbij aanvallers gaminggemeenschappen gebruiken als toegangspoort tot persoonlijke gegevens en betalingsinformatie.
De opkomst van RedTiger laat zien hoe snel legitieme securitytools krachtige wapens kunnen worden voor cybercriminelen, zeker wanneer ze open source beschikbaar zijn. Voor gebruikers betekent dit dat voorzichtigheid bij het downloaden van onbekende software belangrijker is dan ooit.
downloadfan