Informo oficialmente de lo que pasó hace un par de días en nuestro server de Discord:
 

1. 
      Nuestro bot "ManuBot", todavía en contstrucción, creó automáticamente una invitación al server.
   


2. 
      Uno de ellos escribió "*** lol" en el canal general.
   


3. 
      Entraron lo que parecían ser 2 usuarios al mismo tiempo al server.
   


4. 
      Más tarde, Manubot empezó a crear consecutivamente hasta unos 700 canales de texto, todos con el mismo nombre. Dentro de los canales sólo había un mensaje de texto y una invitación a otro server ó a una web.
   


5. 
      Algunos usuarios del server me llamaron la atención. 
   


6. 
      Tras unas horas, me dí cuenta del aviso, y fui a mirar qué pasaba.
   


7. 
      Baneé a los 2 usuarios, borré la invitación generada, y empecé a borrar uno a uno, los canales creados. Al no disponer de ninguna herramienta, no podía borrarlos todos a la vez...
   


8. 
      Fui al repositorio dónde está el código de Manubot, para ver si lo habían modificado. No había cambios.
   


9. 
      Modifiqué y comenté casi todo su código fuente, a excepción del Login, para que no pudiera actuar.
   


10. 
       Dí por finalizado el asunto y me marché.
    

24h más tarde, sucedió lo siguiente:
 

1. 
      Manubot creó inesperadamente otra invitación a nuestro server, y creó de nuevo otros 200-300 canales, de carácter similar.
   


2. 
      Esta vez estaba atento y me conecté enseguida.
   


3. 
      Borré canales (otra paliza, de nuevo), y decidí "limpiar todo".
   


4. 
      Expulsé a Manubot del canal.
   


5. 
      Fui al repositorio del código de Manubot y bot y literalmente borré todos los archivos del repositorio.
   


6. 
      Fui al sistema que hospedaje la ejecución del Bot en la nube, y lo desactivé para que no pudiera ser llamado.
   


7. 
      Fui a la gestión de desarrollo de Apps y Bots de la web de Discord, y eliminé de la lista a Manubot.
   


8. 
      Dí por finalizado el asunto y me marché.
   

Desde entonces, no ha vuelto a haber ataque.
 
 
 
Sospecho que ocurrió lo siguiente:
 

• 
     Un imbécil de turno, por razones desconocidas, encontró y accedió a alguno de los siguientes:
     
  • 
             Mi repositorio de github, dónde está el código de Manubot, en Javascript.
          
  
        
  • 
             La lista de mis aplicaciones del portal de desarrollo de Discord.
          
  
        
  • 
             Mi cuenta en Heroku, dónde se gestiona la ejecución de Manubot mediante NodeJS.
          
  
     


• 
     Debió encontrar alguna vulnerabilidad mía o algún descuido por mi parte.
  


• 
     Decidió "puentear" en otro repositorio a su bot con el mío, llamando al suyo a través del  ID/Token de Manubot.
  


• 
     Por lo tanto, su bot ejecutaba código que aparecía como realizado por Manubot. Eso es imposible porque mi bot no estaba ni comenzado a desarrollar, no tenía esa complejidad de código vista. Sólo sabe mostrar links y decir "hola", etc.
  


• 
     Desde su bot, generó la invitación, se invitaron ( o bien encontrarían alguna invitación pública por la web, etc), y entró al canal.
  


• 
     Como entraron 2 usuarios al mismo tiempo, sospecho que era sólo una persona más un bot de redirección o un user falso, un proxy.
  


• 
     Pidió al bot que creara los canales, etc..
  

 
 
Todavía estoy un poco en shock por la experiencia. Nuestro server de Discord no es nada po***r, por lo que dudo que se tratara de "jorobar" para dañar a la Comunidad. De hecho, últimamente estaba contento porque veía que ya empezaba a aumentar la frecuencia de actividad en ese medio social, al igual que pasó en Telegram en su día, por lo que no me planteo para nada quitar ese canal de comunicación. Simplemente se encuentra todavía en un estado muy verde de participación pero ya empieza a arrancar. De ahí la razón por darle algo de importancia, creando bots, etc...
 
Tanto la creación del bot, su hospedaje,etc, como su programación, las realicé sin ninguna experiencia previa. Sólo vi un tutorial de youtube que encontré y lo seguí al pie de la letra. Vamos, que no soy para nada un experto en este campo, pero para que veáis que tampoco se requiere ser un "máquina" para hacer lo que yo hago cada día por aquí...
 
Espero que este informe os haya aclarado las dudas que podáis tener. Yo no pienso abandonar ninguno de los medios de redes sociales que puse a disposición para la Comunidad, aunque por desgracia tampoco dispongo de tiempo material ni conocimientos suficientes para encargarme de ellos.
 
Básicamente ya no doy más a basto, ya me encargo de demasiadas cosas, y se necesita más gente capaz dedicada.
 
 
 
 

Muchas gracias por informarnos de todo el tema y sobre todo por el curro que haces cada día por la comunidad.