Злоумышленники используют Discord для управления трояном CikaBika Bot
Изображение: OpenAI
Злоумышленники распространяют троян CikaBika Bot для Windows в образе диска под видом делового предложения и управляют им через Discord, сообщает Security Affairs. Троян на Rust даёт злоумышленникам удалённый доступ к компьютеру и возможность похищать файлы.
Исследователи Darktrace установили, что после запуска троян создаёт отдельный канал Discord для каждого заражённого компьютера. Он отправляет туда сведения о системе и снимок экрана. Оператор также может включать камеру и трансляцию экрана. Для передачи файлов оператор также может использовать Ngrok. По оценке Darktrace, Discord позволяет злоумышленникам управлять заражёнными устройствами без собственной инфраструктуры управления.
Образ Proposition_Projet.img содержит PDF и ярлык Windows, замаскированный под документ Word. Когда жертва открывает ярлык, на экране появляется PDF, а в фоне запускается PowerShell. Он расшифровывает и извлекает из PDF загрузчик на Nim, который содержит вредоносную DLL и ещё один сценарий PowerShell.
Сценарий пытается записать DLL в каталог установки Microsoft Edge под именем dbghelp.dll, как у настоящей отладочной библиотеки, которую Edge загружает сам. Для обхода запроса UAC он меняет реестр и использует computerdefaults.exe. Однако библиотека реализует не все функции, которые ожидает Edge. Код показывает, как авторы рассчитывали подменить загружаемую библиотеку, но не доказывает, что браузер действительно её загрузил.
Как именно образ диска попадает к жертвам, исследователи пока не выяснили. По их оценке, сочетание ярлыка под видом документа Word и правдоподобного PDF указывает, что кампания рассчитана на фишинг.
