Yeni CikaBika Bot truva atı, ele geçirdiği bilgisayarları Discord kanallarıyla yönetiyor

Güvenlik şirketi Darktrace, komuta-kontrol (C&C) kanalı olarak Discord'u kullanan ve daha önce belgelenmemiş CikaBika Bot adlı bir uzaktan erişim truva atını (RAT) inceledi. Darktrace'in 14 Ekim'de yayımladığı rapora göre Rust ile yazılmış zararlı yazılım, büyük olasılıkla oltalama yoluyla, belge temalı tuzaklarla dağıtılıyor ve bulaştığı her Windows bilgisayara ayrı bir Discord kanalı açıyor. Araştırmayı haberleştiren SecurityWeek, meşru servislerin kötüye kullanılmasının zararlı trafiği olağan trafikten ayırmayı zorlaştırdığına dikkat çekti.

Neler oldu?

Darktrace'in aktardığına göre kampanyada Proposition_Projet.img adlı bir disk imajı kullanılıyor. İmajın içinde Fransızca bir sahte PDF ve Word belgesi gibi görünen bir Windows kısayolu (Proposition_Projet_Personnalisable.docx.lnk) bulunuyor. Kısayol açıldığında ekranda sahte belge gösterilirken gizli bir PowerShell süreci, PDF'in içine gömülü bir çalıştırılabilir dosyayı çözüp geçici klasörden çalıştırıyor. Darktrace, tuzağın nasıl ulaştırıldığını doğrulayamadığını ancak dosya adlarının oltalamaya işaret ettiğini belirtiyor. Raporda belirli kurban, sektör veya ülke adı verilmiyor.

Teknik detaylar

Darktrace'e göre çözülen yük, bir Rust DLL'i ile bir PowerShell kurulum betiğini taşıyan Nim tabanlı bir yükleyici. Betik, ms-settings kayıt defteri anahtarını değiştirerek computerdefaults.exe aracılığıyla DLL'i korumalı Microsoft Edge klasörüne dbghelp.dll adıyla kopyalamaya, böylece Kullanıcı Hesabı Denetimi'ni (UAC) atlatmaya çalışıyor. Edge bu kütüphaneyi gecikmeli olarak yüklediği için saldırganların DLL arama sırası ele geçirme tekniğine güvendiği değerlendiriliyor. Darktrace, yerleştirilen DLL'in Edge'in beklediği fonksiyonlarla yalnızca kısmen uyumlu olduğunu ve kodun Edge'in DLL'i gerçekten yüklediğini değil, hedeflenen yolu gösterdiğini vurguluyor.

Çalışmaya başlayan CikaBika Bot, cihazı Discord'a kaydediyor; sistem bilgilerini, süreç listesini ve ağ yapılandırmasını topluyor ve ekran görüntüsü almaya çalışıyor. Saldırgan ardından kurbanın kanalında !shell, !sysinfo, !tasklist, !kill, !upload ve !download gibi komutlar veriyor. Kodda kamera, ekran görüntüsü ve canlı yayın işlevlerine dair ifadeler de bulunuyor, ancak Darktrace bunların kullanıldığını gözlemlemedi. Gözlenen saldırıda saldırgan bir klasörü ZIP arşivine sıkıştırıp ngrok üzerinden dışarı aktardı ve !download komutuyla kurbanın masaüstündeki belirli bir belgeyi çaldı.

Ne yapmalı?

Darktrace; sahte PDF, kısayol, yükleyici ve zararlı DLL için dosya özetlerini (hash) yayımladı ve etkinliği LNK çalıştırma, PowerShell, UAC atlatma, DLL ele geçirme ve web servisi üzerinden komuta-kontrol gibi MITRE ATT&CK teknikleriyle eşleştirdi. Savunma ekipleri şunlara dikkat edebilir:

• Bağlanmış disk imajlarındaki kısayol dosyalarından başlatılan gizli PowerShell süreçleri,
• HKCU\Software\Classes\ms-settings kayıt defteri anahtarındaki değişiklikler,
• Microsoft Edge uygulama klasörüne yazılan yeni DLL dosyaları,
• Tarayıcı dışı süreçlerden gelen Discord API trafiği ve beklenmeyen ngrok bağlantıları.

E-posta eklerindeki disk imajlarının otomatik olarak bağlanmasını engellemek veya kısıtlamak da bu tür tuzaklara karşı riski azaltıyor.