Admin
Администратор
Исследователи Darktrace обнаружили новую вредоносную кампанию, распространяющую троян CikaBika Bot, написанный на языке Rust. Особенность этого вредоноса заключается в том, что он полностью управляется через мессенджер Discord. Заражение начинается с дискового образа, маскирующегося под деловое предложение. Внутри образа находятся файлы: PDF-документ, который выглядит как легитимный документ на французском языке, и вредоносный ярлык Windows, замаскированный под документ Word. При открытии ярлыка в фоновом режиме запускается скрытый процесс PowerShell, в то время как жертва видит только открытый PDF-файл. PowerShell использует данные из PDF в качестве ключа для расшифровки и запуска вредоносной нагрузки, написанной на языке Nim. Этот загрузчик содержит дополнительные компоненты: DLL-библиотеку на Rust и PowerShell-скрипт. Сценарий пытается скопировать вредоносную DLL в папку установки Microsoft Edge под именем dbghelp.dll, используя технику подмены порядка загрузки DLL. После успешного внедрения троян регистрирует заражённое устройство в Discord, создавая отдельный канал для управления. Злоумышленник получает возможность выполнять произвольные команды, загружать и скачивать файлы, а также вести наблюдение через захват экрана и доступ к камере. Использование легального сервиса Discord позволяет злоумышленникам избежать необходимости развёртывания собственной инфраструктуры.
