Securityonderzoekers signaleren een nieuwe schadelijke campagne rond de CikaBika Bot RAT. Opvallend: de aanvallers gebruiken Discord als command-and-control (C&C). Daarmee krijgen ze op afstand controle over besmette systemen en kunnen ze informatie verzamelen, opdrachten uitvoeren en data naar buiten brengen via aanvullende technieken.
In dit artikel zetten we de infectieketen uiteen, wat de malware precies kan, en welke stappen je organisatie helpt om de impact te beperken.
Wat is de CikaBika Bot RAT?
De CikaBika Bot RAT is een op Rust gebaseerde remote access trojan. De malware is ontworpen om na infectie snel operationeel te worden. Volgens Darktrace gebruikt de campagne Discord-kanalen per slachtoffer om berichten en opdrachten uit te wisselen, waardoor het verkeer lijkt op normale activiteit binnen een legitieme dienst.
Daarnaast maakt de aanvaller gebruik van extra infrastructuur voor exfiltratie, waaronder het inzetten van Ngrok om verzamelde gegevens door te sturen.
De eerste stap: phishing-lures met documentmaskers
De distributie begint met een documentgerichte lokkertactiek. Slachtoffers ontvangen een PDF-bestand dat is gekoppeld aan een disk image. Daarin zit een Windows shortcut (LNK) die zich voordoet als een Word-document.
Wanneer het LNK-bestand wordt geopend, wordt een decoy document getoond om de gebruiker gerust te stellen. Tegelijk start er een verborgen PowerShell-proces dat een ingesloten payload decodeert en vervolgens uitvoert.
Van PowerShell naar Nim en Rust
Het uitvoerbare deel dat hieruit volgt, blijkt een Nim-gebaseerde loader te zijn. Die loader bevat onder meer een Rust DLL en een PowerShell-deploymentscript.
Volgens het onderzoek worden deze componenten eerst naar tijdelijke bestanden geschreven. Vervolgens probeert het script de kwaadaardige DLL te plaatsen in een beschermde Edge-directory.
Waarom dat belangrijk is? De aanpak is gericht op het omzeilen van de beveiligingsmaatregelen die normaal gesproken door User Account Control (UAC) worden afgedwongen.
UAC-bypass en DLL search-order hijacking
Darktrace beschrijft dat de aanvallers waarschijnlijk proberen om kwaadwillende code sideloading toe te passen via DLL search-order hijacking. Daarbij wordt gebruik gemaakt van exportfuncties die gekoppeld zijn aan een Microsoft debugging library.
Dit type techniek kan ervoor zorgen dat de malware op een manier wordt geladen die minder zichtbaar is, en waarbij het verdedigingsmechanisme dat op “klassieke” uitvoer vertrouwt, wordt omzeild.
Wat doet de CikaBika Bot RAT na infectie?
Zodra de CikaBika Bot RAT actief is, richt de malware zich direct op “surveillance en controle”. De RAT registreert de besmette machine bij Discord en start daarna routines voor verkenning.
- Reconnaissance: het verzamelen van systeeminformatie, processen en netwerkconfiguratie.
- Screenshotting: het nemen van screenshots als bewijsmateriaal of voor verdere observatie.
Belangrijk detail uit het onderzoek: de communicatie verloopt via Discord als interactieve laag. Daardoor kan de aanvaller opdrachten sturen en rapporten terug ontvangen, zonder dat er per se een eigen “klassieke” C&C-server hoeft te staan.
Opdrachten via Discord: van uitvoering tot exfiltratie
Met de Discord-kanalen als interface kan de operator onder meer:
- Op afstand command execution uitvoeren.
- Procesenumeratie doen en processen beëindigen.
- Bestanden uploaden en downloaden (afhankelijk van de ingestelde doelen).
- Surveillance inzetten met opdrachten voor screenshot, camera, streaming en uitzending/broadcast.
Daarnaast kan de malware mappen comprimeren naar ZIP-archieven en de inhoud exfiltreren. Dat gebeurt volgens Darktrace via een aanpak met Ngrok. Ook kan de operator specifieke documenten opvragen van het slachtoffer.
Het grotere punt dat Darktrace benadrukt: doordat Discord een legitieme dienst is, kan het misbruik daarvan “vertrouwd” ogen in logging en monitoring, zeker wanneer je alleen op bekende botnet-kenmerken stuurt.
Waarom het gebruik van Discord zo lastig kan zijn
Veel organisaties kijken bij incident response vooral naar typische C&C-indicatoren: afwijkende domeinen, ongewone poorten, of server-naar-client patronen die direct opvallen. Bij Discord ligt dat anders. Discord is breed bekend, verkeer ernaartoe is niet automatisch verdacht en kan in het normale netwerkbeeld passen.
Daarom is het risico niet alleen technisch (C&C), maar ook operationeel: je monitoring moet niet alleen “servernamen” vangen, maar ook gedragspatronen die wijzen op een geïnfecteerde host.
Praktische handelstips voor je organisatie
Wil je de kans op impact verkleinen of snelle detectie verbeteren? Overweeg dan deze maatregelen, afgestemd op de geobserveerde aanvalsketen.
1) Versterk detectie rond Office-achtige lures en LNK
Omdat de campagne start met document-gerichte lokkertactieken en een LNK die als Word-document lijkt, helpt het om LNK-uitvoeringen en opvolgende scriptactiviteiten beter te monitoren. Let daarbij op combinaties van decoy-documenten, het starten van verborgen processen en vervolgens PowerShell-gedrag.
2) Houd PowerShell-activiteit strikt zichtbaar
In deze keten speelt PowerShell een centrale rol (decoderen en deployen). Zorg dat je PowerShell-logging en scriptblock-telemetrie beschikbaar hebt, en dat je alerting hebt op patronen zoals “verborgen” of ongebruikelijke procesketens.
3) Controleer op verdachte DLL-laadpatronen
De beschreven UAC-bypass en de mogelijke DLL search-order hijacking vragen om aanvullende controles op DLL-lading en runtime-gedrag. Focus daarbij op afwijkingen rond directorys die je normaalgesproken niet verwacht bij een compromis.
4) Let op ongewoon data-uitgaand verkeer naar exfiltratiekanalen
Aangezien de aanval volgens Darktrace ook exfiltratie via Ngrok omvat, is het verstandig om uitgaand verkeer dat past bij tunneling of “relay”-achtige patronen extra te onderzoeken. Koppel dit aan endpoint-telemetrie: als een machine compressie uitvoert en kort daarna data naar buiten stuurt, is dat een signaal.
Wil je daarnaast bredere context over incidenten en datalekken? Bekijk dan ook relevante analyses op de site, zoals de uitleg rond het databres bij CenterPoint en wat dat betekent voor de betrokken systemen en processen.
Vergelijkbare inzichten: C&C buiten de “klassieke” kanalen
De kern van dit dreigingsmodel is breder dan één RAT. Daders proberen legitieme services te gebruiken als onderdeel van hun besturings- en communicatiearchitectuur. Dat vraagt om een andere aanpak van verdediging: niet alleen “wat” wordt aangeroepen, maar vooral “waarom” en “wanneer” het gedrag afwijkt.
Als je je verdedigingsstrategie daarop wilt afstemmen, kan het nuttig zijn om ook te kijken naar eerdere meldingen over misbruik van infrastructuur of technieken. Een voorbeeld van hoe aanvallers componenten en kanalen inzetten voor controle op afstand is beschreven in de analyse van de Langflow RCE-lek, waar incidenten vaak snel escaleren zodra systemen kwetsbaar of al gecompromitteerd zijn.
Conclusie
De CikaBika Bot RAT maakt gebruik van een slimme combinatie van technieken: een document-lure met LNK, verborgen PowerShell, een loaderketen naar Rust/Nim, pogingen voor UAC-bypass, en vooral Discord als command-and-control. Daardoor kan het dreigingsverkeer relatief “normaal” aanvoelen, terwijl de malware wel degelijk verkenning, bestandsmanipulatie, surveillance en exfiltratie uitvoert.
Door je detectie te richten op procesketens, verdacht scriptgedrag, DLL-laadpatronen en uitgaand datagedrag, kun je sneller ingrijpen. Zeker als je organisatie meerdere endpoints en gebruikersstromen heeft, is gedragsgedreven monitoring hier het verschil tussen “het gebeurt” en “we zien het op tijd”.
Bron: https://www.securityweek.com/cikabika-bot-rat-uses-discord-for-cc/
