CikaBika Bot：DiscordをC2インフラ化する隠蔽型RAT

Darktraceのセキュリティ研究チームは、Discordをコマンド＆コントロール（C2）サーバとして悪用する新しいRust製RAT（Remote Access Trojan）「CikaBika Bot」の感染キャンペーンに関するレポートを公開しました。
この攻撃手法は、フランス語のプロジェクト提案書に偽装したディスクイメージ（Proposition_Projet.img）を侵入の起点とします。
難読化されたPowerShellスクリプトとNim言語製のローダーを経由し、最終的にRust製のRATを展開します。
攻撃者はDiscordの専用チャンネルをデバイスごとに割り当てることで、C2インフラを自前で保持することなく、リモートコマンド実行、端末情報の収集、ファイルのアップロード・ダウンロードなどをインタラクティブに実行します。
特徴的な部分をみてみましょう。

• フィッシング誘導（PDFとショートカットの複合手法）
  • 仕組み
    攻撃者は .img ディスクイメージ内に、Word文書に偽装したショートカットファイル（Proposition_Projet_Personnalisable.docx.lnk）と、フランス語のPDF文書（Presentation_Generale.pdf.pdf）を配置します。
  • 詳細
    ユーザがショートカットを開くと、バックグラウンドで非表示のPowerShellプロセスが立ち上がると同時に、おとり（Decoy）としてPDFが表示されます。
    このPDFの内部にはバイトデータとして暗号化された本体が埋め込まれており、PowerShellが特定のオフセット（239 / 0x20）の値をXORキーとして解読し、一時フォルダ（%TEMP%）へペイロードを展開・実行します。
• Nim言語製ローダー（多段展開と難読化）
  • 仕組み
    展開された初期ペイロード（IfyuUapz.txt）は、近年マルウェアで採用例が増えているNim言語で記述されたローダーです。
  • 詳細
    ローダー内にはBase64でエンコードされた2つのデータ（Rust製DLLと配置用PowerShellスクリプト）が保持されています。
    Nimローダーは自身の関数（loadLib）や regsvr32.exe を用いてDLLの読込・実行を試みます。
• UACバイパスとバイパス補助（computerdefaults.exe の悪用）
  • 仕組み
    権限昇格の警告（UAC）を回避し、保護されたシステムディレクトリへファイルを書き込むためにWindowsの標準機能を悪用します。
  • 詳細
    PowerShellスクリプトは、レジストリ（HKCU\Software\Classes\ms-settings\shell\open\command）を改ざんした上で computerdefaults.exe を実行し、管理者権限のダイアログを出さずにDLLをMicrosoft Edgeのフォルダへコピーします。
    また、この際に画面上に表示される設定ウィンドウ等を非表示（ShowWindow）にするために、C#製の簡易コードを動的コンパイルして実行・隠蔽を徹底しています。
• DLL Search-Order Hijacking（Microsoft Edgeの検索順序悪用）
  • 仕組み
    Microsoft Edge（msedge.exe）が起動時に dbghelp.dll を遅延読み込み（Delay-load）する仕様を悪用します。
  • 詳細
    攻撃者は正規のEdgeインストール先（C:\Program Files (x86)\Microsoft\Edge\Application\）に悪意ある dbghelp.dll を配置し、Edgeのプロセスとしてマルウェアを実行させようと試みます。
  • 注記事項
    Darktraceの分析によると、この悪意あるDLLはEdgeが要求するすべてのエクスポート関数を満たしていないため、実際の環境によっては互換性エラーとなり、完璧には動作しない（サイドローディングに失敗する）可能性があると指摘されています。
• Discordを用いたC2制御とWebカメラ/画面監視
  • 仕組み
    攻撃者は独自のC2サーバを構築・維持せず、メッセージングアプリ「Discord」のAPIを操作チャネルとして悪用します。
  • 詳細
    感染後、BOTはパブリックIP（ipify.com経由）やシステム情報を取得し、感染端末ごとに個別のDiscordチャンネルを作成して登録します。
    攻撃者はチャネル内で特定のコマンド（!shell, upload, src, stream など）を送信することで、ターゲット端末のシェル操作、ファイル送受信、スクリーンショット取得、カメラ映像・画面のストリーミング配信などをリモート操作します。
• ngrokを利用したデータ窃取（Exfiltration）
  • 仕組み
    大容量データの持ち出しや通信の流出検知を回避するため、トンネリングサービス「ngrok」を併用します。
    ngrokは本来、ローカル環境を外部に公開するための正規ツールですが、攻撃者はファイアウォールやルーターの制限を回避して社内端末からデータを外部へ持ち出すためにこれを悪用しています。
  • 詳細
    端末内の特定フォルダをZIP圧縮した上で、ngrokを介して外部へと転送（窃取）する挙動が観察されています。
    Discordを対話型コマンドの送信に使い、大容量データの持ち出しにはngrokを使い分けることで、効率的かつ検知されにくいデータ送出を行っています。

CikaBika Botの事例は、既存の正規サービスや標準機能を巧みに組み合わせた現代的なサイバー攻撃の典型例です。

• 検知の難しさ
  C2に正規サービスであるDiscordやngrokを使用し、プロセス隠蔽にMicrosoft EdgeやWindows標準コマンド（computerdefaults.exe）を利用しているため、従来の「不正なIP/ドメイン」ベースのブロックだけでは防ぐことが難しくなっています。
• 防御のポイント
  単一のファイル名やハッシュ値（IoC）のみに依存せず、「LNKファイル起動後の異常なPowerShell実行」「一時フォルダからの不審な実行ファイル作成」「Edgeディレクトリへの異常なファイル書き込み（dbghelp.dll）」「エンドポイントからDiscord/ngrokへの予期せぬ通信」といった、一連の攻撃プロセス（ふるまい）を相関的に検知・防御する体制を整えることが推奨されます。

CikaBika Bot: Inside a Discord RAT
https://www.darktrace.com/blog/cikabika-bot-inside-a-discord-rat