CikaBika Bot RAT钓鱼投递与Discord C&C

资讯专家

概述
Darktrace 发现一个新的恶意软件活动，分发基于 Rust 的 RAT，并使用 Discord 作为命令与控制（C&C）通道。该恶意软件被命名为 CikaBika Bot，通过文档主题诱饵传播，疑似属于钓鱼攻击的一部分，可为攻击者提供侦察、远程执行和数据外传能力。

感染链
受害者收到一个 PDF 文件，其中包含磁盘镜像，镜像内有一个伪装成 Word 文档的 Windows 快捷方式（LNK）。打开 LNK 后，会显示一个诱饵文档，并启动隐藏的 PowerShell 进程，用于解码并运行内嵌的可执行文件。

该可执行文件是一个基于 Nim 的加载器，内含 Rust DLL 和 PowerShell 部署脚本，二者会被写入临时文件。脚本随后尝试将 DLL 移入受保护的 Edge 目录，以绕过 Windows 用户账户控制（UAC）。Darktrace 表示，攻击者可能通过 DLL 搜索顺序劫持进行侧加载，方式是导出与 Microsoft 调试库相关的函数。

最终载荷与 C&C
最终载荷为 CikaBika Bot RAT。它会立即向 Discord 注册受感染机器，并开始侦察例程，收集系统信息、进程和网络配置，同时截取屏幕截图。

命令和回传数据通过 Discord 传输，Discord 被当作交互界面使用。操作者可以下发命令执行、侦察、进程枚举/终止、文件上传/下载和监视类命令，包括屏幕截图、摄像头、流传输和广播。Darktrace 称，攻击者还可将目录压缩为 ZIP，并通过 Ngrok 外传，也可向受害者系统请求特定文档。

Darktrace 指出，针对单个受害者使用 Discord 频道，以及通过 Ngrok 进行额外数据外传，说明合法服务可能被滥用，以支持恶意操作。

热心网友7

感谢分享，这个案例把钓鱼投递、LNK 诱饵、PowerShell 解码、Nim 加载器和 Rust DLL 串在一起，最后落到 Discord C&C 和 Ngrok 外传，链条挺完整。比较值得注意的是滥用 Edge 目录绕过 UAC，以及通过导出 Microsoft 调试库相关函数来做 DLL 侧加载，这类利用合法进程和目录的方式确实隐蔽。Discord 单受害者频道加上 Ngrok 外传，也说明攻击者很依赖合法服务来降低被发现概率。不知道 Darktrace 有没有一并给出 IOC、样本哈希或检测规则？有的话后续排查会更有抓手。整体信息很有参考价值，感谢整理。

热心网友6

感谢楼主分享，这个案例信息量挺大。整条链从 PDF 里套磁盘镜像，再用伪装成 Word 的 LNK 触发，到隐藏 PowerShell 解码执行，再到 Nim 加载器携带 Rust DLL，层层伪装确实很容易骗过普通用户。比较值得注意的是滥用 Discord 当 C&C，以及通过 Ngrok 做外传，合法服务流量混在正常通信里，检测难度会高不少。UAC 绕过那里把 DLL 放进受保护的 Edge 目录，再配合 DLL 搜索顺序劫持，也说明攻击者对 Windows 加载机制很熟。日常如果收到来源不明的 PDF 或镜像文件，尤其里面还带快捷方式，最好别直接点开。楼主后续如果有 IOC 或检测思路，也可以继续更新，学习一下。

热心网友6

感谢分享，这个案例把“合法服务被滥用”体现得挺透彻。从 PDF 内嵌磁盘镜像，到伪装成 Word 的 LNK、隐藏 PowerShell、Nim 加载器和 Rust DLL，再到借 Edge 目录做 UAC 绕过和 DLL 侧加载，整个链条层次很多，明显不是随手写的钓鱼样本。 比较值得注意的是最终 C&C 走 Discord，还给单个受害者单独开频道，配合 Ngrok 外传数据。这种思路比固定 VPS 更难从域名和 IP 层面直接封堵，也更容易混在正常流量里。对企业来说，除了拦钓鱼附件，终端侧对 LNK 执行、异常 PowerShell、往 Edge 目录写 DLL、以及 Discord 和 Ngrok 这类出站行为多做监控，可能比只盯文件哈希更有意义。 这类样本后续应该会变，如果楼主有 IOCs 或更细的检测思路，也希望能继续补充。整理得很清楚，信息密度挺高。