Rust-бот CikaBika превратил Discord в центр управления атаками

Rust-бот CikaBika использует Discord для управления атаками

Исследователи Darktrace задокументировали новую кампанию по распространению трояна удаленного доступа CikaBika Bot. Программа написана на языке Rust и полностью управляется через Discord. Цепочка заражения начинается с дискового образа, имитирующего деловое предложение. В итоге злоумышленник получает возможность выполнять произвольные команды, похищать файлы и делать снимки экрана через сообщения в чат-платформе.

Дисковый образ Proposition_Projet.img запускает цепочку заражения

Атака начинается с дискового образа Proposition_Projet.img. Он содержит два файла: PDF-документ на французском языке, который выглядит как легитимный отчет о написании резюме, и ярлык Windows, замаскированный под документ Word. При открытии ярлыка в фоновом режиме запускается скрытый процесс PowerShell, а пользователю отображается PDF-файл, чтобы отвлечь его внимание. PowerShell читает PDF как необработанные данные. Скрытое в файле значение используется как ключ для расшифровки и извлечения программы-загрузчика, написанной на языке Nim. Злоумышленники выбирают Nim из-за меньшей осведомленности инструментов безопасности об этом языке. Загрузчик содержит еще два компонента: DLL на Rust и скрипт PowerShell.

DLL-hijacking через папку установки Microsoft Edge обеспечивает выполнение кода

Скрипт PowerShell пытается скопировать DLL в папку установки Microsoft Edge под именем dbghelp.dll. Это имя легитимной библиотеки отладки, которую Edge обычно загружает. Для доступа к защищенной папке без запроса контроля учетных записей пользователей (UAC) скрипт изменяет настройку реестра Windows и использует утилиту computerdefaults.exe для обхода проверки безопасности. Darktrace описывает эту технику как DLL search-order hijacking. Исследователи отмечают, что вредоносная DLL не предоставляет всех ожидаемых Edge функций, поэтому метод может не сработать на всех системах. Предполагается, что атака использует уязвимость DLL search-order hijacking.

Discord и Ngrok служат платформой управления и передачи данных

После установки CikaBika Bot регистрирует зараженную машину в Discord, создавая выделенный канал для каждого устройства. Затем троян собирает информацию о системе, запускает команды tasklist и ipconfig, делает снимок экрана и отправляет все оператору через этот канал. Злоумышленник получает полное представление о машине в первые секунды после заражения. Функционал включает удаленный доступ к командной строке, управление процессами, загрузку и выгрузку файлов, а также функции наблюдения, такие как захват экрана и доступ к камере. CikaBika Bot использует Discord как платформу командного управления (C2), позволяя злоумышленнику управлять скомпрометированными устройствами и извлекать файлы без необходимости поддерживать собственную C2-инфраструктуру. Использование каналов Discord для отдельных жертв и дополнительная эксфильтрация данных через Ngrok демонстрируют, как легитимные сервисы могут быть перепрофилированы для вредоносных операций. Discord не блокируется по умолчанию, и стандартные средства безопасности не предназначены для обработки сообщений Discord как трафика C2. Злоумышленнику не нужно создавать выделенный сервер или регистрировать подозрительный домен. Для передачи файлов вместо отправки больших объемов данных через Discord используется Ngrok. Это снижает зависимость от Discord и ограничивает последствия в случае блокировки учетных записей платформой.

Социальная инженерия остается основным вектором атаки

CikaBika Bot демонстрирует, что злоумышленники продолжают использовать методы социальной инженерии для доставки вредоносного ПО. Использование дискового образа с ярлыком, замаскированным под документ Word, и легитимным PDF-файлом указывает на то, что кампания была разработана для фишинга. Хотя первоначальный метод распространения не подтвержден, предполагается, что он основан на социальной инженерии.