CikaBika Bot มัลแวร์ตัวใหม่ใช้ Discord เป็นศูนย์บัญชาการ

Darktrace เปิดเผยการค้นพบแคมเปญมัลแวร์ตัวใหม่ที่แพร่กระจาย RAT (Remote Access Trojan) ซึ่งเขียนด้วยภาษา Rust โดยใช้แพลตฟอร์ม Discord เป็นช่องทางหลักในการสั่งการและควบคุม (C&C)

มัลแวร์ตัวนี้มีชื่อว่า CikaBika Bot ถูกแพร่กระจายผ่านไฟล์ล่อลวงในรูปแบบเอกสารที่คาดว่าเป็นส่วนหนึ่งของการโจมตีแบบฟิชชิ่ง มัลแวร์ตัวนี้ช่วยให้ผู้โจมตีสามารถค้นหาข้อมูลภายในระบบ (reconnaissance) สั่งการจากระยะไกล (remote execution) และขโมยข้อมูล (data exfiltration) ออกจากเครื่องที่ติดเชื้อได้

พฤติกรรมการโจมตีจะเริ่มจากเหยื่อได้รับไฟล์ PDF ที่มีดิสก์อิมเมจ (Disk Image) ภายในบรรจุไฟล์ Windows shortcut (LNK) ที่ปลอมแปลงเป็นเอกสาร Word เมื่อเหยื่อเปิดไฟล์ดังกล่าว ระบบจะแสดงเอกสารล่อหลอกพร้อมกับเริ่มกระบวนการ PowerShell ที่ถูกซ่อนไว้เพื่อถอดรหัสและรันไฟล์ executable ที่ฝังอยู่ทันที

ไฟล์ executable ดังกล่าวทำหน้าที่เป็นตัวโหลด (loader) ที่เขียนด้วยภาษา Nim ภายในบรรจุ Rust DLL และสคริปต์การติดตั้ง PowerShell ซึ่งจะถูกเขียนลงในไฟล์ชั่วคราว จากนั้นสคริปต์จะพยายามย้าย DLL เข้าไปยังไดเรกทอรี Edge ที่ได้รับการคุ้มครองเพื่อหลบเลี่ยงการตรวจสอบจาก User Account Control (UAC) ของ Windows

ตามรายงานของ Darktrace ระบุว่าผู้โจมตีพยายามโหลดโค้ดอันตรายผ่านเทคนิค DLL search-order hijacking โดยการส่งออกฟังก์ชันที่เกี่ยวข้องกับไลบรารีการดีบักของ Microsoft เพื่อซ่อนเร้นการทำงาน

สำหรับเพย์โหลดสุดท้ายอย่าง CikaBika Bot RAT จะทำการลงทะเบียนเครื่องที่ติดเชื้อเข้ากับ Discord ทันทีเพื่อเริ่มขั้นตอนการหาข้อมูล โดยจะรวบรวมข้อมูลระบบ กระบวนการทำงาน (processes) การกำหนดค่าเครือข่าย รวมถึงการถ่ายภาพหน้าจอส่งกลับไปยังผู้โจมตี

การสั่งการและรายงานผลทั้งหมดจะกระทำผ่าน Discord ซึ่งถูกใช้เป็นอินเทอร์เฟซโต้ตอบกับแฮกเกอร์ โดยผู้ควบคุมสามารถสั่งรันคำสั่งต่างๆ จัดการกระบวนการในเครื่อง (process enumeration/termination) อัปโหลดหรือดาวน์โหลดไฟล์ รวมถึงเฝ้าติดตามเหยื่อผ่านการถ่ายภาพหน้าจอ เปิดกล้อง และสตรีมสัญญาณภาพ

นอกจากนี้ Darktrace ยังพบว่าผู้โจมตีสามารถใช้ RAT ตัวนี้บีบอัดข้อมูลในไดเรกทอรีเป็นไฟล์ ZIP และขโมยข้อมูลออกไปผ่านบริการ Ngrok รวมถึงสามารถระบุชื่อเอกสารที่ต้องการจากเครื่องของเหยื่อได้โดยเฉพาะ

“การใช้ช่องทาง Discord แยกสำหรับเหยื่อแต่ละรายควบคู่กับการขโมยข้อมูลผ่าน Ngrok สะท้อนให้เห็นว่าบริการที่ถูกกฎหมายสามารถถูกนำมาปรับเปลี่ยนเพื่อสนับสนุนปฏิบัติการที่เป็นอันตรายได้อย่างแนบเนียน” Darktrace กล่าวทิ้งท้าย