CikaBika Bot RAT、C&Cにディスコードを悪用

Darktraceは、Discordをコマンド&コントロール（C&C）に利用するRust製のRATを配布する新たなマルウェアキャンペーンを確認しました。

「CikaBika Bot」と名付けられたこのマルウェアは、文書を装ったおとりを通じて配布されています。フィッシング攻撃の一環とみられます。感染したシステムでは、攻撃者による偵察、リモートコード実行、データ窃取が可能になります。

被害者に届くのは、ディスクイメージを含むPDFファイルです。イメージ内には、Word文書に偽装したWindowsのショートカット（LNK）ファイルが入っています。開くとおとりの文書が表示され、同時に隠しPowerShellプロセスが起動します。このプロセスが、埋め込まれた実行ファイルをデコードして実行します。

この実行ファイルはNim製のローダーで、Rust製のDLLとPowerShellの展開スクリプトを含んでおり、これらは一時ファイルとして書き出されます。スクリプトはその後、Windowsのユーザーアカウント制御（UAC）を回避するため、DLLを保護されたEdgeのディレクトリに移動させようとします。

Darktraceによると、攻撃者はMicrosoftのデバッグ用ライブラリに関連する関数をエクスポートし、DLL検索順序ハイジャックによって悪意あるコードをサイドロードしようとしているとみられます。

最終的なペイロードがCikaBika Bot RATです。RATは感染したマシンを直ちにDiscordに登録し、偵察処理を開始します。システム情報、プロセス、ネットワーク設定を収集し、スクリーンショットも取得します。

コマンドやレポートのやり取りにはDiscordが使われ、対話型のインターフェースとして機能します。オペレーターは、コマンド実行、偵察、プロセスの列挙・終了、ファイルのアップロード・ダウンロード、監視（スクリーンショット、カメラ、ストリーミング、ブロードキャスト）といったコマンドを発行できます。

Darktraceによると、攻撃者はこのRATを使ってディレクトリをZIPアーカイブに圧縮し、Ngrok経由で外部へ送信できます。被害者のシステムから特定の文書を指定して取得することも可能です。

Darktraceは「被害者ごとに個別のDiscordチャンネルを使い、さらにNgrokでデータを外部へ送信している点は、正規のサービスが悪意ある活動に転用され得ることを示している」と指摘しています。