1. Tomada de Conta Zero-Click (ATO)

• Mecanismo: Invocar getToken() por meio do Console de Depuração para extrair o Token de Usuário não criptografado.
• Impacto: O atacante obtém acesso imediato à conta de qualquer local, contornando os requisitos de Senha e 2FA.

2. Spyware em Tempo Real (Verificado)

• Mecanismo: Utilizar Network.enable e acesso ao DOM por meio da Porta de Depuração para capturar todo o texto renderizado e o tráfego WebSocket.
• PoC Verificado: O script discord_spyware_v2.py extraiu com sucesso a Lista de DMs Privadas e a Lista de Servidores da vítima (ex.: "White Hat Community", "LGU+ Security Hackathon") como texto simples em tempo real.
• Evidência: Consulte proof_spyware.png (saída do terminal mostrando texto de interface privado extraído).
• Impacto: Perda completa de privacidade. Atacantes podem monitorar conversas privadas e canais ocultos silenciosamente.

3. Propagação Automatizada de Worm

• Mecanismo: Controlar o Campo de Entrada de Chat (Textarea) por meio de manipulação do DOM para enviar automaticamente links maliciosos a todos os amigos e membros do servidor.
• Impacto: Propagação viral potencialmente massiva de malware aproveitando a confiança da vítima.

4. Persistência Invisível (Backdoor)

• Mecanismo: Modificar settings.json para ativar permanentemente a porta de depuração a cada inicialização do aplicativo.
• Impacto: O backdoor permanece ativo indefinidamente sem acionar softwares antivírus, pois utiliza flags legítimas do Discord.

🛠️ Prova de Conceito (Verificação Técnica)

A vulnerabilidade foi verificada por meio das seguintes etapas:

1. Exploit: Iniciar o Discord com --remote-debugging-port=9222.
2. Acesso: Conectar-se à URL local do Depurador WebSocket.
3. Execução: Injetar alert("GOD MODE ACTIVE") para congelar a interface (Desfiguração de Tela) e executar discord_spyware_v2.py para despejar o conteúdo da tela.

🛡️ Remediação

1. Desativar Flags de Depuração: Builds de produção devem ignorar explicitamente opções perigosas de linha de comando, como --remote-debugging-port. (Desativar em electron.main).
2. Verificações de Integridade: Arquivos de configuração críticos, como settings.json, devem ser assinados (HMAC) ou criptografados para evitar adulteração externa.