黑客利用基于 redtiger 的信息窃取工具窃取 Discord 账户

据报告，威胁者目前正滥用 RedTiger 的信息窃取模块，攻击目标主要集中在法国的 Discord 用户。攻击者通过 PyInstaller 将 RedTiger 的代码编译为独立可执行文件，并为其命名为与游戏或 Discord 相关的名称，以诱导用户点击。

关于该恶意软件的传播途径，尚未披露具体细节，但常见方式包括 Discord 频道、恶意软件下载网站、论坛帖子、恶意广告及 YouTube 视频。

攻击流程：多维度窃取数据，通过云存储传输

1. 植入与扫描：恶意软件植入受害者设备后，会扫描 Discord 相关文件与浏览器数据库文件；

2. 提取核心数据：通过正则表达式提取明文及加密的 Discord 令牌，验证有效性后，获取用户个人资料、邮箱、多因素认证状态与订阅信息；

3. 注入脚本拦截行为：向 Discord 的 index.js 文件注入自定义 JavaScript 代码，拦截 API 调用，捕捉登录尝试、购买操作甚至密码修改等事件，同时提取 Discord 中存储的支付信息（如 PayPal 账户、信用卡信息）；

4. 拓展窃取范围：从浏览器中收集保存的密码、Cookie、浏览历史、信用卡信息及浏览器扩展程序数据，同时捕捉桌面截图，并扫描文件系统中的 TXT、SQL 及 ZIP 格式文件；

5. 数据传输：收集完所有数据后，恶意软件会将文件归档，上传至支持匿名上传的云存储服务 GoFile，再通过 Discord 网络钩子（webhook）将下载链接与受害者元数据发送给攻击者。

反检测机制：多重手段规避分析

RedTiger 具备完善的反检测能力：内置反沙箱机制，检测到调试器时会自动终止运行；同时会生成 400 个进程、创建 100 个随机文件，以此干扰取证分析工作。

用户应避免从未经验证的来源下载可执行文件或游戏工具，例如模组、" 修改器 " 或 " 加速器 "。疑似遭入侵后，应撤销 Discord 令牌，修改相关密码，并从官方网站重新安装 Discord 桌面客户端；清除浏览器中保存的各类数据；为所有账户启用多因素认证。