趋势研究：通讯软件Discord、Telegram易遭骇客滥用，沦为发号施令的C&C服务器

目前市场上部分通讯软件API，允许整合其他应用程序，同时执行其他工作，来简化工作流程，但是，如果遭到有心人士利用，就变成发动攻击的基础建设。趋势科技前瞻威胁研究团队于6月6日发布最新的报告说明，近年来，骇客结合通讯软件与恶意程式，利用讯息传输的功能来下达命令，进一步发动恶意攻击，导致通讯软件的传输平台成为骇客发送指令的C&C服务器，并且表示，通讯软件Discord与Telegram的API已经遭骇客滥用。

趋势科技选择5项通讯软件Slack、Discord、Telegram、HipChat、Mattermost，以及2种社群媒体Twitter、Facebook，调查其服务的注册机制、匿名性、API传输的即时性、传输档案的大小、储存限制和云端托管的能力，来评估成为C&C服务器的潜在能力，并调查目前该服务API遭骇客滥用的情况。

研究人员调查发现，Discord托管许多恶意软件，例如档案注射器（file injectors）和比特币挖矿程式。除此之外，研究人员也表示，由于攻击者能利用Websocket协定，窃听用户在Discord聊天频道的任何讯息，例如，线上社交游戏平台Roblox用户经常使用Discord通讯服务，骇客透过Websocket协定，窃听Roblox用户发送的Cookie，进一步盗取用户账号资料。

除此之外，勒索软件KillDisk的变种是利用Telegram的API，锁定目标装置来下达命令，进一步窃取目标装置的资料。这些命令分别是“Cmd|”，执行shell命令并发送讯息到通讯平台；“Cmd||”，执行shell命令但不会发送讯息；“Getphoto|| %path%”，从受感染电脑上传图片到通讯平台；“Getdock||%path%”，上传不超过50MB大小的档案至通讯平台；“forcecheckin|| %random%”，搜集目标Windows（含X64、X86版本）电脑的使用权限；“time|| %seconds%”，更改执行命令的时间间隔；“ss||”，执行截图功能。研究人员也发现，

Telegram不仅提供骇客传送命令，来执行不同的功能，也是骇客确认目标装置是否保持连接。勒索软件TeleCrypt使用Telegram的API，回传受害装置的名称、遭加密的资料和其他资讯给攻击者，来确保双方传输的管道没有被破坏。

研究人员指出，骇客经常利用Web应用程序常用的REST（REpresentational State Transfer，表症状态转移）架构，透过在通讯服务的API，传输特定讯息来执行4种功能，分别是POST，在网络建立（攻击）资源的功能，如同使用者在部落格发布文章的功能；GET，请求（攻击）资源的功能，像是使用者利用Google搜索引擎，来获取某种资讯；PUT，更新或更改（攻击）资源状态的功能，像是使用者修改已发布的部落格文章；DELETE，移除或删除（攻击）资源的功能。其中，骇客在推特经常利用此方式，来发动恶意攻击。

然而，Facebook在后端管理上设计一套良好的检测机制，Facebook可以在特定时间范围内，检测用户发布内容中可疑的指令码（scripts），以及用户发布文章的频率太频繁，Facebook会提前阻止该用户账号继续发布，避免该用户账号资料遭到他人窃取。

研究人员说明，因为在通讯平台的环境里面，很难利用监视流量的方式，辨别出攻击者与一般使用者不同的使用行为，所以无法完全阻挡骇客在通讯平台上的恶意行为，除非能够解决前述的问题，否则难以防护通讯平台的安全性。

研究人员呼吁，企业使用者需要随时保持软件在最新版本，以及养成安全的使用习惯，例如不要点击任何连结和下载任何文件，勿在通讯服务透露任何机密资讯，以及谈论工作以外的内容等，才能够降低在通讯服务遭受攻击的风险。