Informe de Vulnerabilidad Crítica: Cliente de Discord para macOS

Fecha: 2026-01-25 Objetivo: Cliente de Discord (macOS Stable 0.0.373) Autor: Antigravity

🚨 Resumen Ejecutivo

Hemos identificado una vulnerabilidad de seguridad crítica en el Cliente de Discord para macOS (basado en Electron) que implica la exposición forzada del Puerto de Depuración Remota (9222) mediante configuración local o flags de línea de comandos. Esto permite a un atacante local eludir por completo la autenticación (2FA, Contraseña) y alcanzar un contexto de Ejecución Remota de Código (RCE) dentro del cliente.

Estado de Verificación CVE

• Vector Distinto: Esta vulnerabilidad es distinta de la previamente reportada CVE-2024-23739 (RunAsNode RCE).
• Estado Zero-Day: Actualmente no hay ningún CVE asignado para la "Exposición del Puerto de Depuración Remota" en Discord macOS. Esto se clasifica como una Vulnerabilidad de Configuración Zero-Day (o N-Day sin parchear).
• Nuevo Modelo de Amenaza: Si bien la inyección en settings.json es una técnica conocida, demostrar capacidades de Propagación de Gusanos y Spyware en Tiempo Real eleva esto a un riesgo de seguridad crítico.

💥 Escenarios de Explotación (Análisis de Impacto)

1. Toma de Control de Cuenta Zero-Click (ATO)

• Mecanismo: Invocar getToken() a través de la Consola de Depuración para extraer el User Token sin cifrar.
• Impacto: El atacante obtiene acceso inmediato a la cuenta desde cualquier ubicación, eludiendo los requisitos de Contraseña y 2FA.

2. Spyware en Tiempo Real (Verificado)

• Mecanismo: Utilizar Network.enable y el acceso al DOM a través del Puerto de Depuración para capturar todo el texto renderizado y el tráfico WebSocket.
• PoC Verificado: El script discord_spyware_v2.py extrajo con éxito la Lista de MD Privados y la Lista de Servidores de la víctima (p. ej., "White Hat Community", "LGU+ Security Hackathon") como texto plano en tiempo real.
• Evidencia: Ver proof_spyware.png (salida de Terminal que muestra texto de interfaz privado extraído).
• Impacto: Pérdida total de privacidad. Los atacantes pueden monitorear conversaciones privadas y canales ocultos de forma silenciosa.

3. Propagación Automatizada de Gusanos

• Mecanismo: Controlar la Entrada de Chat (Textarea) mediante manipulación del DOM para enviar automáticamente enlaces maliciosos a todos los amigos y miembros del servidor.
• Impacto: Propagación viral potencialmente masiva de malware aprovechando la confianza de la víctima.

4. Persistencia Invisible (Backdoor)

• Mecanismo: Modificar settings.json para habilitar permanentemente el puerto de depuración en cada inicio de la aplicación.
• Impacto: El backdoor permanece activo indefinidamente sin activar el software antivirus, ya que utiliza flags legítimos de Discord.

🛠️ Prueba de Concepto (Verificación Técnica)

La vulnerabilidad fue verificada mediante los siguientes pasos:

1. Exploit: Lanzar Discord con --remote-debugging-port=9222.
2. Acceso: Conectarse a la URL local del Depurador WebSocket.
3. Ejecución: Inyectar alert("GOD MODE ACTIVE") para congelar la interfaz (Defacement de Pantalla) y ejecutar discord_spyware_v2.py para volcar el contenido de la pantalla.

🛡️ Mitigación

1. Deshabilitar Flags de Depuración: Las compilaciones de producción deberían ignorar explícitamente los switches peligrosos de línea de comandos como --remote-debugging-port. (Deshabilitar en electron.main).
2. Verificaciones de Integridad: Los archivos de configuración críticos como settings.json deberían estar firmados (HMAC) o cifrados para prevenir la manipulación externa.