De nieuw ontdekte malware TWEAKOS maakt gebruik van een combinatie van Windows-malware en een Telegram-bot om accounts te stelen en te verkopen. De malware, die bestaat uit twee gerelateerde Python-componenten, heeft als specifiek doel Discord-authenticatietokens te stelen uit lokale opslag. Deze tokens zijn essentieel voor toegang tot Discord-accounts, inclusief de testversie en het standaardprofiel van Chrome.

De broncode van TWEAKOS is opgedoken op Pastebin, wat inzicht geeft in de werking ervan. Een van de Python-componenten is verantwoordelijk voor het beheer van een Telegram-bot. Deze bot houdt een lokale database bij met gegevens van slachtoffers, kopers, producten en voltooide bestellingen. Bovendien beheert de bot de diefstaloperatie, de toegang voor operators en de verkoop van de gestolen accounts.

Wanneer de malware wordt uitgevoerd, kan dit leiden tot de blootstelling van Discord-accounts. Een geldig Discord-token stelt een aanvaller in staat zich voor te doen als de legitieme accounthouder. TWEAKOS zoekt naar bruikbare tokens en stuurt deze, samen met de accountidentiteit, via Telegram naar de operators. Een beperking in de malware is dat de Discord-controle een ander hoofdlettergebruik verwacht dan de output van de stealer, wat ertoe kan leiden dat niet alle slachtofferaccounts in de database terechtkomen.

Naast het stelen van Discord-tokens, probeert TWEAKOS ook een aparte Telegram-overname te bewerkstelligen, wat directe interactie van de gebruiker vereist. Hiervoor vraagt de malware om een telefoonnummer en inlogcode, en indien nodig om een cloudwachtwoord. Met deze gegevens kan de malware via Telethon inloggen en een nieuwe sessie creëren. Als er reeds een sessiebestand bestaat, wordt een kopie naar twee operatoraccounts gestuurd, zodat deze operators de login kunnen hergebruiken. De malware kan een nieuwe wachtwoordreeks genereren als er nog geen bestaat, maar wijzigt nooit het bestaande accountwachtwoord.

Om ervoor te zorgen dat de malware actief blijft na een herstart, wordt deze opnieuw uitgevoerd wanneer de gebruiker inlogt op een geïnfecteerd Windows-systeem. Een verpakte versie van de malware kopieert zichzelf naar de Opstartmap van de gebruiker, terwijl een scriptversie een opstartvermelding op gebruikersniveau toevoegt. Beide methoden vereisen geen administratorrechten.

De operatie bouwt een etalage rond de gestolen toegang, wat TWEAKOS onderscheidt van andere malware die zich richt op berichtenplatforms. De winkel, beheerd via de Telegram-bot, biedt zowel Telegram- als Discord-accounts aan. Betalingen worden geaccepteerd in Telegram Stars, waarna de gekochte inloggegevens naar de kopers worden gestuurd. De prijzen in de winkel dalen met 5% per dag, met een maximum van 70% korting en een minimale prijs van één Star. De winkel is direct verbonden met de diefstaloperatie.

Operators kunnen via de bot ook slachtoffergegevens bekijken, berichten versturen en een script activeren dat een herhalende waarschuwing op het scherm van een slachtoffer toont. Gestolen materiaal gaat rechtstreeks naar operatorchats; de bot-database verwerkt inkomende berichten van niet-operators. Een optie binnen de malware verwijst naar een vermeende beveiligingsupdate-payload, maar de functionaliteit hiervan is niet geverifieerd.

Er is geen specifieke bezorgingsmethode voor de malware geïdentificeerd. Voor onderzoek wordt aanbevolen om operatorchatrecords te controleren in plaats van alleen op de database te vertrouwen. Verdedigers wordt geadviseerd te letten op ongebruikelijke opstartvermeldingen, toegang tot Discord tokenopslag gevolgd door validatieverzoeken, en Telegram-verkeer na het verschijnen van nieuwe sessiebestanden. Gebruikers die getroffen zijn, wordt geadviseerd om Telegram-sessies ongeldig te maken, blootgestelde Discord-tokens in te trekken en multifactorauthenticatie in te schakelen. Gebruikers dienen onmiddellijk argwaan te hebben bij onverwachte verzoeken om inlogcodes of cloudwachtwoorden.