Операторы RAT CikaBika управляют заражёнными устройствами через Discord
CikaBika — троянская программа удалённого доступа на Rust, распространяемая с приманкой, стилизованной под документ. Она использует Discord как интерфейс управления: операторы отправляют команды заражённым устройствам и получают результаты. Способ доставки заражённого пакета не подтверждён.
Запуск и закрепление в системе
По имеющимся сведениям, заражённый пакет был образом диска с PDF-файлом-приманкой и ярлыком Windows, замаскированным под документ Word. При открытии ярлыка запускается скрытый PowerShell, отображается PDF-файл и считывается встроенный в него исполняемый файл. Загрузчик расшифровывает полезную нагрузку алгоритмом XOR, используя ключ, полученный из байта по смещению 239, и записывает её во временный файл для выполнения.
Первичная полезная нагрузка представляет собой загрузчик Nim с Base64-кодированными компонентами DLL на Rust и скриптом PowerShell для развёртывания. Скрипт размещает DLL и меняет конфигурацию реестра ms-settings текущего пользователя, пытаясь обойти UAC с помощью computerdefaults.exe.
Затем DLL помещается в каталог установки Microsoft Edge под именем dbghelp.dll. Предполагаемый способ выполнения основан на перехвате порядка поиска DLL и зависимости Edge от dbghelp.dll. Вредоносная DLL экспортирует лишь часть ожидаемых функций, поэтому её успешная загрузка Edge не подтверждена. Загрузчик также пытается загрузить DLL напрямую, а при необходимости использует regsvr32.exe как резервный вариант.
Сбор данных и управление через Discord
После запуска RAT собирает сведения об узле, перечисляет процессы с помощью команды tasklist, получает сетевые настройки командой ipconfig и пытается сделать снимок экрана. Артефакты разведки сохраняются в файлах tasklist_startup.txt, network_info.txt и screenshot.png.
Вредоносная программа получает публичный IP-адрес жертвы с сайта ipify.com и регистрирует устройство в Discord. В регистрационные сведения входят имя узла, IP-адреса, время работы и назначенный канал. Для каждого заражённого устройства выделяется отдельный канал, где операторы могут отправлять команды и получать результаты их выполнения.
Среди наблюдавшихся действий были сжатие каталога в ZIP-архив и его эксфильтрация через ngrok. RAT также поддерживает получение файлов с помощью команды !download: запрошенные файлы отправляются через Discord.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
