CikaBika Bot RAT钓鱼投递与Discord C&C

资讯专家

概述
Darktrace 发现一个新的恶意软件活动，分发基于 Rust 的 RAT，并使用 Discord 作为命令与控制（C&C）通道。该恶意软件被命名为 CikaBika Bot，通过文档主题诱饵传播，疑似属于钓鱼攻击的一部分，可为攻击者提供侦察、远程执行和数据外传能力。

感染链
受害者收到一个 PDF 文件，其中包含磁盘镜像，镜像内有一个伪装成 Word 文档的 Windows 快捷方式（LNK）。打开 LNK 后，会显示一个诱饵文档，并启动隐藏的 PowerShell 进程，用于解码并运行内嵌的可执行文件。

该可执行文件是一个基于 Nim 的加载器，内含 Rust DLL 和 PowerShell 部署脚本，二者会被写入临时文件。脚本随后尝试将 DLL 移入受保护的 Edge 目录，以绕过 Windows 用户账户控制（UAC）。Darktrace 表示，攻击者可能通过 DLL 搜索顺序劫持进行侧加载，方式是导出与 Microsoft 调试库相关的函数。

最终载荷与 C&C
最终载荷为 CikaBika Bot RAT。它会立即向 Discord 注册受感染机器，并开始侦察例程，收集系统信息、进程和网络配置，同时截取屏幕截图。

命令和回传数据通过 Discord 传输，Discord 被当作交互界面使用。操作者可以下发命令执行、侦察、进程枚举/终止、文件上传/下载和监视类命令，包括屏幕截图、摄像头、流传输和广播。Darktrace 称，攻击者还可将目录压缩为 ZIP，并通过 Ngrok 外传，也可向受害者系统请求特定文档。

Darktrace 指出，针对单个受害者使用 Discord 频道，以及通过 Ngrok 进行额外数据外传，说明合法服务可能被滥用，以支持恶意操作。