พบมัลแวร์ CikaBika Bot ใช้ Discord เป็น C2 สั่งการเครื่อง Windows และขโมยข้อมูล - Thailand Computer Emergency Response Team (ThaiCERT)

570/69 (IT) ประจำวันจันทร์ที่ 19 ตุลาคม 2569

นักวิจัยจาก Darktrace เปิดเผยการตรวจพบแคมเปญมัลแวร์ CikaBika Bot ซึ่งเป็น Remote Access Trojan (RAT) ที่พัฒนาด้วยภาษา Rust มุ่งโจมตีระบบ Windows โดยมัลแวร์ใช้ Discord เป็นช่องทาง Command-and-Control (C2) สำหรับรับคำสั่งและควบคุมเครื่องที่ติดมัลแวร์ พร้อมใช้ Ngrok เพื่อนำข้อมูลออกจากระบบ การโจมตีใช้ไฟล์ Disk Image ที่ภายในบรรจุไฟล์ PDF เพื่อให้ผู้ใช้เข้าใจว่าเป็นเอกสารทั่วไป และไฟล์ Windows Shortcut (LNK) ที่ปลอมให้มีลักษณะคล้ายเอกสาร Word โดยยังไม่การยืนยันช่องทางที่ใช้ส่งไฟล์ดังกล่าวไปยังเหยื่อ แต่ลักษณะของไฟล์ที่ใช้ในการโจมตีสอดคล้องกับการโจมตีแบบ Phishing

เมื่อผู้ใช้เปิดไฟล์ LNK ระบบจะเรียก PowerShell โดยไม่แสดงหน้าต่างให้ผู้ใช้เห็นเพื่อถอด Payload ที่ฝังอยู่ในไฟล์ PDF และเรียกใช้ Loader ที่พัฒนาด้วยภาษา Nim จากนั้น Loader จะนำ Rust DLL และ PowerShell Script ออกมาเพื่อพยายามติดตั้งมัลแวร์ผ่านการข้าม User Account Control (UAC) และ DLL Search-Order Hijacking โดยอาศัยไดเรกทอรีของ Microsoft Edge นักวิจัยระบุว่า DLL ที่ตรวจพบมีฟังก์ชันไม่ครบตามที่ Edge ต้องการ จึงยังไม่สามารถยืนยันได้ว่าวิธีดังกล่าวจะทำงานสำเร็จในทุกระบบ เมื่อ CikaBika ทำงานได้สำเร็จ จะรวบรวมข้อมูลเครื่อง จับภาพหน้าจอ และสร้าง Discord Channel แยกสำหรับแต่ละเครื่อง เพื่อให้ผู้โจมตีสามารถรันคำสั่ง จัดการ Process รับส่งไฟล์ เข้าถึงกล้อง และติดตามการใช้งานบนหน้าจอได้

ผู้ใช้งานควรระมัดระวังไฟล์ Disk Image, Shortcut หรือเอกสารที่ได้รับจากแหล่งที่ไม่สามารถยืนยันได้ โดยเฉพาะไฟล์ที่ปลอมเป็นเอกสารทางธุรกิจและมีการเรียก PowerShell หลังเปิดใช้งาน ผู้ดูแลระบบควรตรวจสอบการเรียกใช้ PowerShell, computerdefaults.exe และไฟล์ DLL ที่ถูกสร้างในไดเรกทอรีของ Microsoft Edge รวมถึงตรวจสอบการเชื่อมต่อไปยัง Discord และ Ngrok ที่ไม่สอดคล้องกับการใช้งานปกติขององค์กร อย่างไรก็ตาม การเชื่อมต่อกับบริการดังกล่าวเพียงอย่างเดียวไม่เพียงพอที่จะยืนยันการติดมัลแวร์ เนื่องจากเป็นบริการที่สามารถนำไปใช้งานได้ตามปกติ

แหล่งข่าว : https://securityaffairs.com/201210/security/rust-based-cikabika-bot-turns-discord-into-a-command-center.html

570/69（IT）2026 年 10 月 19 日，星期一。

Darktrace 的研究人员发现，他们检测到了 CikaBika Bot 恶意软件攻击活动。该恶意软件是一种用 Rust 语言编写的远程访问木马 (RAT)，专门针对 Windows 系统。它利用 Discord 作为命令与控制 (C2) 接口来接收命令并控制受感染的计算机，并使用 Ngrok 从系统中提取数据。攻击者使用包含 PDF 文件的磁盘映像来误导用户，使其误以为这些文件是合法文档，并使用伪装成 Word 文档的 Windows 快捷方式文件 (LNK)。目前尚未确认向受害者发送这些文件的具体方法，但文件结构与网络钓鱼攻击的典型特征相符。

当用户打开 LNK 文件时，系统会在不显示窗口的情况下调用 PowerShell 来提取嵌入在 PDF 文件中的有效载荷，并执行一个用 Nim 编写的加载器。该加载器随后提取 Rust DLL 和一个 PowerShell 脚本，试图绕过用户帐户控制 (UAC) 和 DLL 搜索顺序劫持，利用 Microsoft Edge 的目录结构来安装恶意软件。研究人员指出，检测到的 DLL 缺少 Edge 所需的必要功能，因此尚无法确认此方法是否适用于所有系统。CikaBika 成功执行后，会收集系统数据、捕获屏幕截图，并为每台机器创建单独的 Discord 频道。这使得攻击者能够执行命令、管理进程、传输文件、访问摄像头并监控屏幕使用情况。

用户应谨慎对待从未经核实来源获取的磁盘映像、快捷方式或文档，尤其要注意那些伪装成商业文档并在打开时触发 PowerShell 调用的文件。系统管理员应检查 Microsoft Edge 目录中创建的 PowerShell 调用、computerdefaults.exe 文件和 DLL 文件，并检查是否存在与 Discord 和 Ngrok 的连接，这些连接可能不符合正常的组织使用规范。但是，仅凭与这些服务的连接不足以确认是否感染恶意软件，因为这些服务本身可能可以正常使用。

来源：https://securityaffairs.com/201210/security/rust-based-cikabika-bot-turns-discord-into-a-command-center.html