Сервер Discord или рейд сообщества: скомпрометированный токен бота, спам через веб-перехватчик и восстановление журнала аудита¶

Просыпаясь от тысяч @everyone пинги уведомлений и обнаружение того, что ваш сервер сообщества Discord, игровая гильдия или субреддит находится под активным скоординированным рейдом или автоматическим «серверным ядерным ударом», является высокоскоростной цифровой чрезвычайной ситуацией. В течение 30-90 секунд скомпрометированная учетная запись администратора, похищенный токен бота или утечка веб-хука могут удалить десятки каналов, массово заблокировать тысячи законных участников, наводнить ваш сервер опустошителями криптовалютных кошельков или опубликовать серьезные нарушения Условий обслуживания (включая изображения без согласия или материалы о сексуальном насилии над детьми, CSAM), предназначенный для запуска автоматического полносерверного закрытия Discord Trust & Safety, которое также блокирует личную учетную запись владельца сервера. Если злоумышленник публикует незаконные CSAM, террористические угрозы или непосредственные угрозы физического насилия, немедленно сообщите о доказательствах, используя нашу сообщать о незаконном и вредном контенте и уход за детьми, контакты с хищниками и отчетность NCMEC руководства и проконсультируйтесь с нашими глобальными номера экстренных служб каталог, если кому-то угрожает физическая опасность.

Чтобы успешно остановить рейд менее чем за 60 секунд, необходимо определить, какой из трёх векторов атаки поражает ваше сообщество: 1. Внешняя волна присоединения/рейд на пользовательских ботов: Сотни автоматических учетных записей пользователей одновременно пересылают через пригласительную ссылку или личный URL-адрес в спам-каналы и личные сообщения. 2. Атака с помощью вебхука. Злоумышленник, получивший URL-адрес вебхука канала (discord.com/api/webhooks/...) наводнения @everyone пинги и мошеннические ссылки, даже не присоединяясь к серверу и не появляясь в списке участников. 3. Компрометация внутренних привилегий («Серверная ядерная бомба»): Токен сеанса модератора (Local Storage / leveldb токен, украденный вредоносной программой-инфостилером) или токен разработчика пользовательского бота (Bot ...) с Administrator разрешение украдено, стрельба DELETE /channels и PUT /bans Вызовы API со скоростью машины.

В этом руководстве представлен точный 60-секундный протокол экстренной блокировки, обязательная последовательность отзыва скомпрометированных токенов бота перед тем, как выгнать мошеннического бота, извлечение журнала судебно-медицинской экспертизы и официальный Discord Trust & Safety (dis.gd) и Поддержка модов Reddit.

Сделай это сейчас¶

1. Немедленно активируйте «Приостановить приглашения» и «Приостановить DM» в меню «Действия безопасности» Discord (займет 5 секунд). Нажмите на свое Имя сервера в левом верхнем углу -> выберите Действия по обеспечению безопасности (или Настройки сервера -> Настройка безопасности -> Защита от рейда) -> отметьте Приостановить приглашения и Приостановить DM и установите длительность на 24 часа. Это мгновенно блокирует каждую ссылку для приглашения и ваш индивидуальный URL-адрес Vanity, позволяя новым учетным записям присоединяться к рейду, а также блокирует все нежелательные прямые сообщения между участниками.
2. ** Разденьте Administrator, Manage Channels, Manage Roles, Manage Webhooksи Ban Members разрешения от @everyone роль И из ролей вашего персонала/бота.** Откройте Настройки сервера -> Роли -> Разрешения по умолчанию (@everyone) -> прокрутите вниз и нажмите Очистить разрешения (или явно отключите его). Send Messages, Mention @everyone, @here, and All Roles, Attach Files, Embed Linksи Create Public/Private Threads). Затем выберите Роли модератора/администратора/бота прямо под ролью владельца и временно отключите .Administrator, Manage Channels и Ban Members чтобы остановить активную ядерную бомбу, уничтожающую каналы.
3. Проверьте Server Settings -> Audit Log ПЕРВЫЙ и фильтровать по действию (Delete Channel, Ban Member, Create Webhook, Update Role), чтобы точно определить мошенническую учетную запись или бота. Никогда не угадайте, какой модератор или бот запускает ядерную бомбу. В Журнале аудита отображаются конкретные участники, выполняющие вызовы API, в режиме реального времени.
4. Если пользовательский бот уничтожает сервер, ОТЗВОНИТЕ его токен бота на портале разработчиков Discord (discord.com/developers/applications) или лишить его ролевых разрешений ПРЕЖДЕ ЧЕМ выгнать или забанить бота. Если у скомпрометированного бота есть Administrator или Manage Server разрешения, или если скомпрометированный администратор-человек все еще находится внутри сервера, простой пинок бота позволяет сценарию злоумышленника немедленно повторно пригласить бота или продолжать запускать вызовы API до тех пор, пока его токен или роль не будут удалены.
5. Если в спам-сообщении говорится APP или BOT рядом со странным именем, которого НЕТ в вашем списке участников, откройте Server Settings -> Integrations -> Webhooks и немедленно удалите все неопознанные веб-перехватчики. Спам в веб-перехватчиках не исходит от пользователя на вашем сервере; он передается через HTTP POST запросы к просочившемуся URL-адресу веб-перехватчика и могут быть остановлены только путем удаления веб-перехватчика внутри Интеграции -> Веб-перехватчики (или отзыва Manage Webhooks разрешения).
6. Сохраните ссылку на сообщение, идентификатор пользователя (18-to-19-digit Snowflake ID) и скриншоты журнала аудита ПЕРЕД массовой очисткой нелегального контента. Если рейдеры опубликовали CSAM, кровопролитие или doxxing, чтобы подставить ваш сервер, сделайте снимок экрана Журнала аудита, показывающего временную метку присоединения злоумышленника и действие запрета, скопируйте постоянный Идентификатор пользователя Discord злоумышленника и сообщите о сообщении с помощью Щелкните правой кнопкой мыши -> Сообщить о сообщении, прежде чем запускать массовую очистку сообщений, чтобы база данных Discord Trust & Safety записала вас как модератор сообщения, а не замешанный владелец сервера.

Схема принятия решений: диагностика и остановка активного рейда сообщества менее чем за 60 секунд¶

Определите, какая из четырех механик рейда происходит прямо сейчас, и выполните точно соответствующую последовательность действий, описанную ниже.

flowchart TD
    RaidStart["Обнаружен активный рейд на сервер, спам-флуд или удаление канала"] --> PauseInvites["ШАГ 1. Нажмите «Имя сервера» -> «Действия безопасности» -> «Включить «Приостановить приглашения» и «Приостановить DM»."]
    PauseInvites --> AuditCheck["ШАГ 2. Откройте «Настройки сервера» -> «Журнал аудита», чтобы идентифицировать исполнителя."]
    AuditCheck --> VectorType{"Что показывает журнал аудита или чат?"}
    VectorType -->|"Сотни новых аккаунтов присоединяются и рассылают спам в чат/DM"| JoinRaid["ВНЕШНЕЕ ПРИСОЕДИНЕНИЕ К RAID: удалить @everyone «Отправить сообщения», «Прикрепить файлы» и «Упоминание @everyone» -> повысить уровень проверки до «Высший (проверенный телефон)» -> включить спам-фильтр AutoMod Mention"]
    VectorType -->|"Сообщения с пометкой «APP/BOT» являются спамом @everyone, актера нет в списке участников"| WebhookRaid["СПАМ-АТАКА ВЕБ-ХУКОВ: откройте настройки сервера -> Интеграции -> Веб-перехватчики -> Удалить все нераспознанные веб-перехватчики -> Проверить, кто их создал, в журнале аудита."]
    VectorType -->|"Учётная запись модератора или администратора удаляет каналы/банит пользователей"| ModCompromised["СОКРАЩЕННЫЙ ТОКЕН МОДЕРАТОРА: перетащите роль мода ниже своей или лишите прав роли -> заблокируйте взломанную учетную запись мода -> очистите зараженный компьютер от мода и сбросьте пароль."]
    VectorType -->|"Аккаунт бота массово удаляет каналы, создает роли или банит"| BotNuke["КОМПРОМИССОВАННЫЙ ТОКЕН БОТА NUKE: обнулить разрешения управляемой роли бота -> Сбросить токен бота на портале разработчиков (discord.com/developers) -> Выгнать/запретить бота и отозвать OAuth2"]
    JoinRaid --> EvidenceClean["ШАГ 3. Сначала сообщите о любых незаконных фреймовых сообщениях через отчет в приложении -> запустите массовую очистку/восстановление сообщений."]
    WebhookRaid --> EvidenceClean
    ModCompromised --> EvidenceClean
    BotNuke --> EvidenceClean

Часть 1. Протокол экстренной блокировки на 60 секунд (остановка кровотечения)¶

Когда начинается рейд или уничтожение сервера, модераторы-люди не могут вручную заблокировать учетные записи быстрее, чем автоматический скрипт Python или Go, запускающий одновременные запросы к Discord REST API (50 requests per second). Вы должны отключить возможности API злоумышленника на уровне конфигурации сервера.

1. Как заморозить пользователя-бота, присоединившегося к рейду за 15 секунд¶

Если сотни одноразовых учетных записей присоединяются к вашему серверу и наводняют каналы или массово рассылают вашим участникам фейковые сообщения "Free Nitro" или "Crypto Airdrop" фишинговые ссылки: 1. Запустить «Действия безопасности» (Pause Invites + Pause DMs): - Нажмите раскрывающийся список «Имя сервера» (вверху слева) -> Действия безопасности. - Установите флажок Приостановить приглашения (возвращается "Invites are currently paused for this server" на любую внешнюю ссылку или щелчок по личному URL-адресу) и Приостановить DM (не позволяет лицам, не являющимся друзьями на сервере, инициировать новые ветки прямых сообщений). 2. Поднимите уровень проверки до максимального (Highest - Phone Verified): - Перейдите в Настройки сервера -> Настройка безопасности -> Уровень проверки -> нажмите Изменить -> выберите Самый высокий (в учетной записи Discord должен быть подтвержден телефон). - Большинство автоматизированных рейдовых ботнетов полагаются на дешевые токены, проверенные по электронной почте ($0.01 per token), а не аккаунты, подтвержденные по SMS. Переключение на Самый высокий немедленно блокирует непроверенные токены ботов, уже находящиеся на сервере, от отправки сообщений или обмена сообщениями с участниками. 3. Блокировать @everyone Разрешения канала по всему миру: - Перейдите в Настройки сервера -> Роли -> Разрешения по умолчанию (@everyone). - Выключить: - Send Messages и Send Messages in Threads - Create Public Threads и Create Private Threads - Attach Files и Embed Links - Add Reactions и Use External Emoji / Stickers - Mention @everyone, @here, and All Roles - Критическая проверка переопределения разрешений канала: Если конкретный канал (например, #general или #chat) отмечен зеленой галочкой (Allow) переопределить @everyone роль для Send Messages внутри Редактировать канал -> Разрешения изменение роли глобальных настроек сервера не блокирует этот канал. Если на любом канале по-прежнему присутствует спам, нажмите значок шестеренки (Редактировать канал) -> Разрешения -> @everyone** и установите Send Messages к Красному X (Deny) или включите Медленный режим (6 hours).

2. Как остановить спам-атаку «Вебхук» за 15 секунд¶

Многие владельцы серверов паникуют, думая, что весь их сервер взломан из-за того, что пользователь по имени "Server Nuke Syndicate" с APP (ранее BOT) значок пингуется @everyone 5 раз в секунду #announcements и его нельзя щелкнуть правой кнопкой мыши и заблокировать. - Почему нельзя заблокировать вебхук: Вебхук Discord , это простая конечная точка HTTP (https://discord.com/api/webhooks/{webhook.id}/{webhook.token}). Любой, кто получит этот URL-адрес (либо потому, что модератор случайно показал его в прямой трансляции, зафиксировал его в общедоступном репозитории GitHub, либо создал его скомпрометированную учетную запись мода), может отправлять неограниченное количество полезных данных JSON на этот канал, даже не будучи членом вашего сервера Discord. - Как убить его немедленно: 1. Откройте Настройки сервера -> Интеграции -> Вебхуки. 2. Посмотрите на список вебхуков и посмотрите, на какой канал указывает каждый из них. 3. Нажмите на каждый неопознанный веб-перехватчик и нажмите Удалить веб-перехватчик (или нажмите Копировать URL-адрес веб-перехватчика для журналов судебно-медицинской экспертизы, а затем Удалить веб-перехватчик). Спам прекращается в ту миллисекунду, когда вебхук удаляется. 4. Сразу откройте Настройки сервера -> Журнал аудита -> Фильтровать по действию: Create Webhook чтобы увидеть, какой аккаунт модератора или бота создал этот вебхук. Если учетная запись модератора создала вебхук в 3:00 ночи без его ведома, токен сеанса Discord этого модератора скомпрометирован: лишите его роли и немедленно удалите его учетную запись.

Часть 2. Остановка внутренней «серверной ядерной атаки» (скомпрометированный модератор или скомпрометированный токен бота)¶

"Server Nuke" происходит, когда злоумышленник компрометирует учетную запись или бота, имеющего повышенные административные права (Administrator, Manage Channels, Manage Roles, Ban Members, Manage Webhooks) и запускает сценарий автоматического уничтожения (Nuker). В течение 10 секунд сценарий перебирает каждый идентификатор канала, удаляет все текстовые и голосовые каналы, создает 250 новых каналов с именами #nuked-by-xxx, удаляет все роли сервера и отправляет запросы на массовый бан в отношении списка участников.

1. Правило иерархии ролей Discord (почему вы можете или не можете остановить мошеннического администратора)¶

Discord обеспечивает строгую вертикальную Иерархию ролей внутри Настройки сервера -> Роли: - Владелец сервера (владелец короны) стоит над каждой ролью на сервере и может лишить или забанить любого человека или бота независимо от порядка ролей. - Любой администратор, не являющийся владельцем, может ТОЛЬКО изменять, удалять или блокировать пользователей и ботов, чья высшая роль находится физически ниже их самой высшей роли в списке Настройки сервера -> Роли. - Если управляемая роль скомпрометированного бота находится на #2 в списке ролей, а ваши доверенные главные администраторы сидят на #3, ваши главные администраторы не имеют права выгнать бота или отредактировать его роль, пока вы (владелец сервера) спите.

2. Точная последовательность нейтрализации скомпрометированного бота-ядерного оружия¶

Если в Журнале аудита указано, что учетная запись бота (либо ваш собственный серверный бот, либо сторонний бот, который был взломан) удаляет каналы или блокирует участников, следуйте точно этому трехэтапному порядку:

3. Как модераторы крадут токены Discord (и почему 2FA НЕ останавливает это)¶

Почему ваш самый доверенный модератор, у которого в учетной записи Discord включена функция SMS и приложение Authenticator App 2FA, внезапно начал бомбить сервер в 4:00 утра? - Как работают токены аутентификации Discord: Клиент Discord для настольных ПК (построенный на Electron/Chromium) и веб-браузеры хранят постоянный токен аутентификации пользователя в локальном зашифрованном хранилище (%AppData%\discord\Local Storage\leveldb в Windows). - Три вектора кражи токенов: 1. Поддельная бета-версия игры/проверочное вредоносное ПО (Lumma, RedLine, Blank Grabber, Emerald Stealer): Рейдовая группа отправляет модератору личное сообщение с просьбой протестировать инди-игру или рассмотреть апелляцию на бан. .zip файл. Вредоносная программа извлекает расшифрованный токен Discord модератора И часто изменяет локальный JavaScript клиента Discord для настольных компьютеров (core.asar / index.js инъекции), так что даже когда модератор меняет свой пароль, зараженное трояном приложение Discord немедленно отправляет новый токен обратно на веб-хук злоумышленника. 2. Вредоносный «Букмарклет» или консоль разработчика (F12) Социальная инженерия. Мошенники обманом заставляют пользователей перетащить букмарклет «Подтвердить учетную запись» на панель браузера или вставить фрагмент в Ctrl + Shift + I консоль, которая считывает активный токен непосредственно из памяти. 3. Поддельное сканирование QR-кода «Бот проверки капчи» (Wick / DoubleCounter Клоны): Злоумышленники отправляют поддельное сообщение о проверке сервера с просьбой к модератору ** «Отсканируйте этот QR-код с помощью мобильного приложения Discord, чтобы убедиться, что вы человек». ** Сканирование QR-кода входа в Discord в мобильном приложении мгновенно предоставляет полный доступ к сеансу входа в учетную запись в настольном браузере злоумышленника, полностью игнорируя пароль и 2FA.

Часть 3: Сообщество Reddit (Subreddit) Восстановление рейда и взломанного модератора¶

Если вы модерируете сообщество Reddit (r/YourSubreddit) и обнаружите, что скомпрометированная учетная запись модератора удалила CSS/Wiki, забанила сотни пользователей, заменила описание субреддита мошенническими ссылками или установила для субреддита значение Частный/Ограниченный, или что тысячи ботов координатной бригады наводняют очередь:

1. Немедленная блокировка субреддита и удаление мошеннического модератора¶

1. Проверьте иерархию модераторов (Mod Tools -> Moderators):
2. Как и Discord, Reddit обеспечивает строгую нисходящую иерархию старшинства в списке модераторов на основе даты добавления каждого модератора.
3. Любой модератор с Everything Флаг (Полные разрешения) может удалять или лишить разрешений любого модератора, указанного **под ним на странице, но не может касаться ни одного модератора, указанного над ним.
4. Если скомпрометированный модератор указан под вами: немедленно откройте Инструменты для модификации -> Модераторы -> Редактируемый, щелкните значок карандаша рядом со скомпрометированным модератором, снимите флажок Everything и нажмите Удалить.
5. Осмотрите Mod Log (https://www.reddit.com/r/YOURSUBREDDIT/about/log):
6. Отфильтруйте Журнал модерации по имени пользователя скомпрометированного модератора (Moderator раскрывающийся список) и по Действию (banuser, wikirevise, editsettings, removelink, removemoderator).
7. Активируйте Reddit «Контроль толпы» и «Фильтры безопасности» во время рейда внешней бригады:
8. Откройте Инструменты мода -> Фильтры безопасности -> Контроль толпы.
9. Установите для Уровня сообщений и Уровня комментариев значение Максимальный/строгий (автоматически сохраняются комментарии и сообщения от пользователей с отрицательной кармой субреддита, новых учетных записей и пользователей, которые не присоединились к сообществу до начала рейда).
10. Включите Фильтр преследований и Фильтр уклонения от бана (который использует внутренний отпечаток устройства Reddit и IP-телеметрию для автоматического удаления сообщений из недавно созданных альтернативных учетных записей забаненных рейдеров).
11. Добавить немедленно AutoModerator Правило чрезвычайной блокировки:
12. Откройте Инструменты мода -> Автомод (wiki/config/automoderator) и вставьте этот мгновенный аварийный выход вверху, чтобы заблокировать или удалить все сообщения/комментарии от учетных записей моложе 30 дней или с низкой кармой субреддита:

    ---
    # EMERGENCY RAID LOCKDOWN RULE
    type: any
    author:
        account_age: "< 30 days"
        combined_subreddit_karma: "< 10"
        satisfy_any_threshold: true
    action: filter
    action_reason: "Emergency Raid Lockdown: New account or low subreddit karma [{{match}}]"
    ---
    

2. Что делать, если «главный модератор» вашего сабреддита был скомпрометирован (и удалил команду модеров)¶

Если учетная запись #1 Top Moderator в вашем субреддите была взломана (или куплена спам-синдикатом крипто/onlyfans) и удалена вся законная команда модераторов: 1. НЕ пытайтесь взломать собственный взломанный сабреддит. 2. Попросите второго удаленного модератора отправить Modmail непосредственно на адрес r/ModSupport (https://www.reddit.com/message/compose?to=/r/ModSupport&subject=Compromised+Top+Moderator+Emergency+Rollback). 3. Почему r/ModSupport Modmail , официальный канал эскалации: В отличие от общедоступных сообщений на r/redditrequest (которые предназначены для заброшенных субреддитов), r/ModSupport В Modmail работают непосредственно администраторы сообщества Reddit, оснащенные внутренним Инструментом отката действий мода. 4. Предоставить: - Точное название субреддита (r/...); - Имя пользователя скомпрометированного Топ-модератора (u/...); - Точная временная метка UTC, когда законная команда модеров была удалена, а вики/боковая панель/контакты подверглись вандализму; - Скриншоты уведомлений об удалении Modmail. 5. Что восстанавливают администраторы Reddit: Администраторы Reddit блокируют скомпрометированную учетную запись Топ-модератора, откатывают все удаления модераторов, баны, изменения вики и удаления сообщений, выполненные во время периода взлома, и восстанавливают самого выжившего модератора в списке #1 Top Moderator сиденье.

Часть 4. Восстановление после рейда: можно ли восстановить удаленные каналы Discord и массово забаненных пользователей?¶

Как только рейд будет остановлен и мошеннический бот/модератор будет удален, владельцы серверов столкнутся с самой сложной операционной реальностью архитектуры Discord:

1. Восстанавливает ли поддержка Discord удаленные каналы или сообщения после уничтожения сервера?¶

• Жесткая техническая реальность: В отличие от YouTube (который хранит удаленные видеокапли в холодном хранилище от 14 до 30 дней) или Reddit (где «удаленные» сообщения просто скрываются, а администраторы могут откатить журнал модификаций), когда канал удаляется в Discord (DELETE /channels/{id}), база данных Discord Cassandra/ScyllaDB навсегда очищает объект канала и все строки сообщений внутри него.
• Discord Trust & Safety НЕ МОЖЕТ восстановить удаленные каналы, удаленные роли или удаленную историю сообщений после того, как скомпрометированный администратор или бот взорвали сервер.
• Что МОЖЕТ восстановить Discord Trust & Safety: Если весь ваш сервер был остановлен/отключен Discord Trust & Safety из-за того, что рейдеры рассылали вредоносный контент, чтобы подставить вас, или если ваша учетная запись владельца сервера была взломана и злоумышленник передал право владения сервером (Transfer Ownership) в свою учетную запись, подав заявление о компрометации учетной записи/владения сервером по адресу https://dis.gd/request позволяет сотрудникам Discord перенести Корону владельца сервера обратно в вашу восстановленную учетную запись.

2. Как восстановить каналы и роли и быстро разблокировать массово забаненных участников¶

1. Восстановление каналов и ролей (шаблоны серверов и боты резервного копирования):
2. Если вы ранее создали собственный шаблон сервера Discord (Server Settings -> Server Template) или сделав снимок конфигурации с помощью надежного резервного бота (например, Xenon Bot, который создает резервные копии иерархии каналов, цветов ролей и перезаписей разрешений, но не исторических сообщений пользователя), вы можете восстановить свой канал и структуру ролей менее чем за 2 минуты.
3. Массовая отмена массовых запретов через журнал аудита:
4. Если скомпрометированный бот заблокировал 500 законных участников в течение 2-минутной ядерной атаки, откройте Настройки сервера -> Журнал аудита -> Фильтрация по действию: Ban Member -> Фильтровать по пользователю: [The Compromised Bot/Mod].
5. Каждая запись о запрете в журнале аудита показывает точный идентификатор пользователя и метку времени, когда жертва была заблокирована в течение этого двухминутного окна. Вы можете разблокировать их вручную через Настройки сервера -> Баны или использовать доверенную команду модератора (например, Carl-bot, Dyno или простой 15-строчный административный скрипт, читающий guild.audit_logs(action=discord.AuditLogAction.ban) фильтруется строго по entry.user.id == COMPROMISED_ACTOR_ID) для автоматического вызова guild.unban(entry.target) на каждого законного участника, которого забанил этот мошенник.
6. Очистка тысяч рейд-сообщений без удаления канала:
7. Если канал переполнен 2000 рейдовыми спам-сообщениями, не удаляйте и не клонируйте канал, если только вы не хотите потерять все старые законные сообщения, закрепленные сообщения и интеграции веб-перехватчиков.
8. Вместо этого используйте встроенную функцию Discord ** Щелкните правой кнопкой мыши Raider -> Запретить -> Удалить историю сообщений: Previous 24 Hours (или Previous 7 Days)**, который автоматически удаляет каждое сообщение, отправленное этим рейдером по всем каналам сервера одновременно.
9. Для спама с нескольких аккаунтов используйте проверенного бота-модератора. /purge команда (up to 100 to 1,000 messages under 14 days old через конечную точку API массового удаления Discord).

Часть 5: Постоянные разногласия и контрольный список укрепления сообщества в рейдах¶

Как только ваш сервер стабилизируется, настройте эти шесть встроенных архитектурных средств защиты с нулевой стоимостью, чтобы ни внешний рейдовый ботнет, ни один зараженный компьютер-модератор никогда больше не могли уничтожить ваш сервер:

1. Включите собственные фильтры Discord «AutoMod» (Server Settings -> Safety Setup -> AutoMod)¶

Встроенный в Discord AutoMod перехватывает и блокирует полезные данные рейда до того, как сообщение будет отображено в чате или вызовет push-уведомление на телефонах участников: - Блокировка спама в виде упоминаний. Установите для параметра Лимит упоминаний значение .5 (или 3) уникальные упоминания в каждом сообщении и выберите Блокировать сообщение + время ожидания участника (1 Hour или 24 Hours) + Отправить оповещение. Это делает физически невозможным для рейдера пропинговать 30 пользователей в одном сообщении. - Блокировать подозрительный спам-контент и часто помечаемые слова. Включите оба встроенных списка. - Пользовательские правила ключевых слов и регулярных выражений для мошенничества. Добавьте собственное правило AutoMod, блокирующее распространенные шаблоны мошенничества: - Ключевые слова: *discord.gift*, *steamcommunity.com/gift*, *free nitro*, *airdrop claim*, *t.me/*, *whatsapp.com*. - Шаблоны регулярных выражений, перехватывающие запутанные ссылки приглашения: (?:https?://)?(?:www\.)?(?:discord\.(?:gg|io|me|li)|discordapp\.com/invite)/[a-zA-Z0-9-]+ (исключая ваши штатные роли).

2. Включите «Требовать 2FA для действий модератора» (Server Settings -> Safety Setup -> Permissions)¶

• Включение Требования 2FA для всего сервера заставляет API Discord проверять, активна ли двухфакторная аутентификация для любого пользователя, пытающегося удалить каналы, заблокировать участников, управлять ролями или управлять веб-перехватчиками.
• Что еще более важно, снимите Administrator разрешение от ВСЕХ модераторов и 99% ботов:
• Золотое правило безопасности Discord: Почти ни один модератор-человек и ни один бот общего назначения никогда не нуждаются в Administrator переключатель включен.
• Почему? Administrator переключатель предоставляет полный обход блокировки каждого канала, предоставляет Manage Webhooks, гранты Manage Serverи позволяет взломанному моду уничтожить сервер за 3 секунды.
• Вместо этого дайте вашим модераторам только Kick Members, Ban Members, Moderate Members (Timeout)и Manage Messages. Дайте им нулевое разрешение Delete Channels, Manage Roles, или Manage Webhooks. Если компьютер модератора заражен программой-похитителем токенов, злоумышленник не сможет удалить ни один канал и не сможет создать ни одного вебхука.

3. Внедрить «Карантин ботов и ограничение скорости защиты от ядерного оружия»¶

• Аудит Server Settings -> Integrations Ежемесячно: удаляйте всех неиспользуемых музыкальных ботов, ботов для мини-игр или ботов для проверки, добавленных вами много лет назад. В ходе нескольких крупных исторических рейдов хакеры взломали облачный сервер заброшенного стороннего бота, использовав его бездействующий сервер. Administrator роль для одновременного рейда на 10 000 серверов.
• Никогда не предоставлять Administrator При приглашении бота: При авторизации бота через URL-адрес OAuth2 (discord.com/oauth2/authorize?...&permissions=8), обратите внимание, что permissions=8 это битовое поле для полного Administrator. Снимите флажок Administrator в запросе OAuth и предоставьте только те разрешения, которые нужны боту.
• Дополнительный Anti-Nuke Watchdog: На больших серверах (10,000+ members), поместите проверенного бота-ограничителя скорости борьбы с ядерным оружием (например, Wick) на верху своей иерархии ролей (#1 Position прямо под владельцем сервера) настроен таким образом, что если какой-либо модератор или бот удаляет более 2 каналов за 60 секунд или блокирует более 5 пользователей за 60 секунд, сторожевой таймер обнуляет роли этого актера за 200 миллисекунд.

Региональные номера экстренных служб и протоколы агентств¶

Когда общественные рейды перерастают в тяжкие киберпреступления, вымогательство, угрозы избиения или распространение материалов о сексуальном насилии над детьми (CSAM), немедленно следуйте этим официальным протоколам отчетности:

• Глобальные отчеты CSAM (обязательные): Никогда не загружайте, не сохраняйте и не пересылайте снимки экрана, содержащие CSAM. Используйте в приложении Discord Сообщение о жалобе -> Материалы о членовредительстве или сексуальном насилии над детьми (которое передает точный хэш вложения на стороне сервера и IP-адрес загрузчика непосредственно в Национальный центр по делам пропавших и эксплуатируемых детей, NCMEC CyberTipline) или сообщите об этом по адресу report.cybertip.org (1-800-843-5678) в США или Internet Watch Foundation (iwf.org.uk) в Великобритании/ЕС. См. уход за детьми, контакты с хищниками и отчетность NCMEC.
• США: Сообщайте о рейдах с вымогательством, угрозах шлепков или DDoS-атаках в Центр рассмотрения жалоб на интернет-преступления ФБР (ic3.gov). Если модератора подвергли доксингу и ему угрожали фальшивым экстренным отправлением («Swatching»), немедленно позвоните в местную полицию в неэкстренную диспетчерскую и поместите на свой адрес Swatchting / Premise Alert Note. В случае непосредственной физической опасности звоните 911.
• Канада. Сообщайте о кибервымогательстве и незаконных атаках на контент в Канадский центр защиты детей (cybertip.ca), Канадский центр по борьбе с мошенничеством (1-888-495-8501) или местную полицию (911 в экстренных случаях).
• Великобритания: Сообщайте о неправомерном использовании компьютеров и кибервымогательстве в Action Fraud (actionfraud.police.uk, 0300 123 2040) и сообщать о незаконных злоупотреблениях в Internet Watch Foundation (iwf.org.uk) или CEOP (ceop.police.uk). Номер службы экстренной помощи: 999 или 112 (полиция неэкстренной помощи: 101).
• Европейский Союз: Сообщайте о незаконных высказываниях, разжигающих ненависть, террористическом контенте или рейдах CSAM через национальный INHOPE (inhope.org) горячая линия и подразделение полиции по борьбе с киберпреступностью в соответствии с Законом ЕС о цифровых услугах (DSA). Номер службы экстренной помощи: 112.
• Австралия и Новая Зеландия. В Австралии сообщайте о серьезных кибернарушениях или материалах незаконных рейдов комиссару по электронной безопасности (esafety.gov.au) и ReportCyber (cyber.gov.au, 1300 292 371). В Новой Зеландии сообщите об этом в Netsafe (netsafe.org.nz, 0508 638 723). Номера экстренных служб: 000 (Австралия), 111 (Новая Зеландия).
• Индия и Азиатско-Тихоокеанский регион: В Индии немедленно сообщите об этом на Национальном портале сообщений о киберпреступлениях (cybercrime.gov.in, горячая линия 1930). Смотрите наш полный каталог по адресу номера экстренных служб.

Часто задаваемые вопросы¶

Почему @everyone спам-пинги все еще появляются после того, как я забанил рейдеров и заблокировал @everyone разрешения?¶

Когда спам-сообщения продолжают поступать в канал со значком **`APP`** или **`BOT`** рядом с именем пользователя, и вы не можете щелкнуть пользователя правой кнопкой мыши, чтобы заблокировать его, злоумышленник использует **Discord Webhook**, а не учетную запись пользователя. Вебхуки не отображаются в списке участников вашего сервера и игнорируются. `@everyone` ролевые ограничения отправки сообщений. Откройте **Настройки сервера -> Интеграции -> Вебхуки**, найдите вебхук, указывающий на затронутый канал, и нажмите **Удалить вебхук**. После этого проверьте **Настройки сервера -> Журнал аудита**, отфильтрованный по `Create Webhook` чтобы узнать, какой модератор или бот его создал.

Если я кикну или забаню скомпрометированного бота во время атаки на сервер, как он сможет присоединиться самостоятельно?¶

Бот не может пригласить себя обратно самостоятельно, **но** если злоумышленник также скомпрометировал токен сеанса Discord модератора-человека (или предоставил `Manage Server` / `Administrator` на скрытую второстепенную роль, пока бот имел контроль), сценарий злоумышленника использует этот человеческий токен для повторной авторизации URL-адреса приглашения OAuth2 бота (`permissions=8`) через долю секунды после того, как вы его пнули. Сначала обнулив разрешения роли бота и сбросив внутри него токен бота. `discord.com/developers/applications`и проверяя **Журнал аудита** на наличие несанкционированных ролей, предоставленных участникам-людям, вы отсекаете как бота, так и его вектор повторного приглашения.

Может ли служба поддержки Discord откатить мой сервер и восстановить удаленные каналы, если хакер взорвал его?¶

Нет. В отличие от Reddit или YouTube, Discord не сохраняет снимки удаленных каналов, удаленных ролей или удаленных сообщений на своих серверах баз данных. Раз в `DELETE /channels/{id}` Запрос API выполняется держателем учетной записи `Manage Channels` или `Administrator` разрешения, эти каналы и история их сообщений будут безвозвратно удалены. Однако, если хакер передал **Владение сервером** из вашей скомпрометированной учетной записи или если ваш сервер был ошибочно отключен службой доверия и безопасности во время фиктивного рейда, отправьте заявку по адресу `dis.gd/request` в разделе **Взломанная учетная запись/Владение сервером** позволяет службе поддержки Discord вернуть вам корону владельца сервера.

Аккаунт модератора был захвачен инфокрадом и взорвал наш сервер. Безопасно ли повторно модифицировать их после того, как они сменят пароль?¶

Никогда не восстанавливайте права модератора скомпрометированному сотруднику только потому, что он сменил пароль на том же компьютере. Современные похитители токенов Discord (`Lumma`, `Blank Grabber`, `RedLine`) внедрить постоянные полезные нагрузки JavaScript непосредственно в настольное приложение Discord. `index.js` / `core.asar` файлы в `%AppData%\discord`. В тот момент, когда модератор снова входит в систему на этом незатертом компьютере, внедренный скрипт крадет новый токен и отправляет его обратно хакеру. Попросите модератора выполнить чистую переустановку Windows с USB-накопителя, прежде чем снова предоставлять ему роли.

Как защитить свой сервер от мошенничества «Поддельная проверка QR-кода», которое захватывает модераторов и участников?¶

Сообщите своим сотрудникам и сообществу, что **не существует законного бота для проверки Discord (`Wick`, `DoubleCounter`, `Pandez`, `Sledgehammer`) когда-либо попросит вас отсканировать QR-код с помощью камеры мобильного приложения Discord.** Сканер QR-кода, встроенный в мобильное приложение Discord, предназначен исключительно для входа нового настольного компьютера в вашу учетную запись Discord. Научите модераторов отключать входящие личные сообщения от лиц, не являющихся друзьями, в разделе **Настройки пользователя -> Контент и социальные сети -> Разрешения социальных сетей** и никогда не сканировать QR-код и не запускать `.exe`/`.zip` файл отправлен в DM.

Связанные руководства¶

• Захват и взлом аккаунтов в социальных сетях
• Сообщить о незаконном и вредном контенте в Интернете
• Уход за детьми, контакты с хищниками, сексуальные вымогательства в отношении несовершеннолетних и отчетность NCMEC
• Преследование в Интернете, доксинг и киберзапугивание
• Канал автора взломан прямыми трансляциями крипто-мошенников
• Номера экстренных служб

Источники и официальное руководство¶

• Discord Trust & Safety и Центр безопасности (discord.com/safety): Защита вашего сервера от рейдов (Safety Setup, AutoMod, Raid Protectionи Security Actions: приостановить приглашения/приостановить личные сообщения) и Иерархия разрешений и двухфакторная аутентификация для модераторов.
• Документация разработчика Discord (discord.com/developers/docs): Области авторизации ботов OAuth2, побитовые флаги разрешений (Administrator = 0x8), Безопасность Webhook и отзыв токена.
• Справка Reddit и поддержка модераторов (support.reddithelp.com / r/ModSupport): Контроль толпы на субреддите, фильтры уклонения от бана, аварийные конфигурации AutoModerator и процедуры отката скомпрометированного модератора.
• Агентство по кибербезопасности и безопасности инфраструктуры (CISA) и Национальный центр кибербезопасности (NCSC): Защита от вредоносных программ-похитителей информации, внедрения электронных приложений (asar подделка) и перехват токена OAuth/сеанса.
• Национальный центр по делам пропавших и эксплуатируемых детей (NCMEC) и Фонд наблюдения за Интернетом (IWF): Обязательные протоколы сообщения о случаях незаконного контента и вредоносного фрейминга сервера.