สรุปสั้น
นักวิจัยของบริษัท Darktrace เปิดเผยแคมเปญที่แพร่มัลแวร์ควบคุมเครื่องระยะไกล (RAT) ชื่อ CikaBika Bot ซึ่งเขียนด้วยภาษา Rust และรับคำสั่งทั้งหมดผ่าน Discord โดยสร้างช่องแชตแยกสำหรับเครื่องเหยื่อแต่ละเครื่อง ห่วงโซ่การติดเชื้อเริ่มจากไฟล์ดิสก์อิมเมจที่ดูเหมือนข้อเสนอโครงการธุรกิจ ภายในมี PDF ภาษาฝรั่งเศสที่ดูปกติเป็นเหยื่อล่อ และไฟล์ shortcut ที่ปลอมเป็นเอกสาร Word เมื่อเปิด shortcut จะมี PowerShell ทำงานเบื้องหลังขณะที่ PDF แสดงบนจอให้เหยื่อเพลิน
ตัวโหลดที่เขียนด้วยภาษา Nim แกะ DLL ภาษา Rust ออกมาแล้วพยายามวางไว้ในโฟลเดอร์ติดตั้งของ Microsoft Edge ในชื่อ dbghelp.dll โดยข้ามหน้าต่างยืนยัน User Account Control (UAC) ผ่าน computerdefaults.exe เมื่อทำงานได้ มัลแวร์จะลงทะเบียนเครื่องกับ Discord ส่งข้อมูลระบบและภาพหน้าจอกลับไปทันที และเปิดให้ผู้โจมตีรัน shell ขโมยไฟล์ จับภาพหน้าจอ เปิดกล้อง และสตรีมหน้าจอได้ ส่วนไฟล์ขนาดใหญ่ถูกส่งออกผ่าน ngrok ผู้โจมตีจึงไม่ต้องตั้งเซิร์ฟเวอร์ C2 ของตัวเองเลย Darktrace ยังไม่ยืนยันช่องทางแพร่กระจายแรก แต่ลักษณะไฟล์ชี้ว่าน่าจะเป็นฟิชชิง
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 18 ตุลาคม 2569 อ้างการวิเคราะห์ของ Darktrace ว่าผู้โจมตีใช้ไฟล์ดิสก์อิมเมจชื่อ Proposition_Projet.img (ภาษาฝรั่งเศสแปลว่า “ข้อเสนอโครงการ”) เป็นเหยื่อล่อ ภายในมี 2 ไฟล์ คือ PDF ภาษาฝรั่งเศสที่ดูเป็นเอกสารปกติเกี่ยวกับการเขียนสรุป และไฟล์ shortcut ของ Windows ที่ปลอมเป็นเอกสาร Word
Darktrace สรุปว่า “ห่วงโซ่การติดเชื้อเริ่มจากดิสก์อิมเมจและ shortcut อันตราย ตัวโหลด Nim แกะ payload สุดท้ายออกมาและพยายามวางไว้ในไดเรกทอรีติดตั้งของ Microsoft Edge ด้วยการข้าม UAC ผ่าน PowerShell เมื่อทำงาน RAT จะเก็บข้อมูลเครื่อง ลงทะเบียนอุปกรณ์กับ Discord และรับคำสั่งผ่านช่องแชตเฉพาะ”
บริษัทชี้ว่าการใช้ Discord เป็นช่องทาง C2 ทำให้ผู้โจมตีจัดการเครื่องที่ถูกเจาะ สั่งงาน และดึงไฟล์ได้โดยไม่ต้องดูแลโครงสร้างพื้นฐานของตัวเอง ขณะที่การใช้ ngrok ส่งข้อมูลออกเพิ่มเติมแสดงให้เห็นว่าบริการที่ถูกกฎหมายถูกนำมาใช้หนุนปฏิบัติการอันตรายอย่างไร Darktrace ระบุว่าแม้ยังไม่ยืนยันวิธีแพร่กระจายแรก แต่การใช้ดิสก์อิมเมจที่มี shortcut ปลอมเป็นเอกสาร Word คู่กับ PDF ที่ดูน่าเชื่อถือ บ่งชี้ว่าแคมเปญออกแบบมาเพื่อฟิชชิง
วิธีการโจมตี
เมื่อเหยื่อเปิด shortcut ระบบจะเริ่ม PowerShell แบบซ่อนหน้าต่าง ซึ่งอ่านไฟล์ PDF ปลอมเป็นข้อมูลดิบ ดึงค่าที่ซ่อนอยู่ในไฟล์มาใช้เป็นกุญแจถอดรหัส แล้วแกะโปรแกรมออกมาบันทึกในโฟลเดอร์ชั่วคราว โปรแกรมนี้เป็นตัวโหลดที่เขียนด้วยภาษา Nim ซึ่งพบในมัลแวร์น้อยกว่าภาษา C ทำให้เครื่องมือความปลอดภัยคุ้นเคยน้อยกว่า ภายในตัวโหลดมีอีก 2 ส่วน คือ DLL ภาษา Rust และสคริปต์ PowerShell
สคริปต์ PowerShell พยายามคัดลอก DLL ไปไว้ในโฟลเดอร์ติดตั้งของ Microsoft Edge ในชื่อ dbghelp.dll ซึ่งเป็นชื่อไลบรารีดีบักของจริงที่ Edge โหลดตามปกติ เพื่อเข้าโฟลเดอร์ที่ได้รับการป้องกันโดยไม่ให้หน้าต่าง UAC เด้ง สคริปต์จะแก้ค่าในรีจิสทรีแล้วใช้ computerdefaults.exe ในทางมิชอบเพื่อข้ามการตรวจสอบ Darktrace เรียกเทคนิคนี้ว่า DLL search-order hijacking แต่ระบุว่า DLL อันตราย export ฟังก์ชันไม่ครบตามตาราง delay-import ของ Edge จึงเข้ากันได้ไม่สมบูรณ์ โค้ดที่พบแสดงเส้นทาง sideloading ที่ตั้งใจไว้ แต่ไม่ได้พิสูจน์ว่า Edge โหลด DLL ที่ฝังไว้ได้จริงในทุกระบบ
เมื่อ implant ทำงาน มันจะลงทะเบียนเครื่องกับ Discord ทันทีโดยสร้างช่องแชตเฉพาะสำหรับเครื่องนั้น เก็บข้อมูลระบบ รัน tasklist และ ipconfig จับภาพหน้าจอ แล้วส่งทั้งหมดกลับผ่านช่องแชต ผู้โจมตีจึงเห็นภาพรวมของเครื่องภายในไม่กี่วินาทีหลังติดเชื้อ ชุดคำสั่งครอบคลุม remote shell การดูและปิดโปรเซส การอัปโหลดและดาวน์โหลดไฟล์ และฟังก์ชันสอดแนมทั้งจับภาพหน้าจอ เปิดกล้อง และสตรีมหน้าจอ ส่วนไฟล์ขนาดใหญ่ส่งผ่าน ngrok แทน Discord ซึ่งลดการพึ่ง Discord และจำกัดผลกระทบหากบัญชีถูกปิด
ผลกระทบ
การใช้ Discord เป็น C2 ทำให้ทราฟฟิกอันตรายกลมกลืนกับการใช้งานปกติ เพราะ Discord ไม่ถูกบล็อกโดยค่าเริ่มต้นในเครือข่ายส่วนใหญ่ และเครื่องมือ endpoint ทั่วไปไม่ได้ออกแบบมาให้มองข้อความ Discord เป็นทราฟฟิก C2 ผู้โจมตีไม่ต้องจดโดเมนน่าสงสัยหรือดูแลเซิร์ฟเวอร์ที่อาจถูกปิด เพียงมีบัญชี Discord ซึ่งสร้างใหม่ได้ง่ายและแทบไม่มีต้นทุนหากถูกระงับ
การผสมภาษาที่พบไม่บ่อยอย่าง Nim และ Rust การข้าม UAC และการพยายามฝัง DLL ในโฟลเดอร์ของเบราว์เซอร์ที่เชื่อถือได้ แสดงว่าผู้พัฒนาตั้งใจหลบการตรวจจับหลายชั้น เมื่อติดเชื้อแล้ว ความสามารถสอดแนมทั้งกล้องและการสตรีมหน้าจอทำให้ข้อมูลธุรกิจและข้อมูลส่วนตัวรั่วไหลได้ทันที เหยื่อล่อภาษาฝรั่งเศสบ่งชี้ว่าแคมเปญนี้อาจเล็งกลุ่มผู้ใช้ภาษาฝรั่งเศสเป็นหลัก
คำแนะนำ
- บล็อกหรือกักกันไฟล์ดิสก์อิมเมจ (
.img,.iso,.vhd) ที่แนบมากับอีเมลหรือดาวน์โหลดจากอินเทอร์เน็ต และพิจารณาปิดการ mount อัตโนมัติสำหรับผู้ใช้ทั่วไป - เฝ้าระวังไฟล์
.lnkที่เรียก PowerShell แบบซ่อนหน้าต่าง และ PowerShell ที่อ่านไฟล์เอกสารเป็นข้อมูลดิบแล้วเขียนไฟล์ปฏิบัติการลงโฟลเดอร์ชั่วคราว - ตั้งกฎตรวจจับการแก้รีจิสทรีที่เกี่ยวข้องกับ
computerdefaults.exe(เทคนิคข้าม UAC ที่รู้จักกันดี) และใช้ UAC ระดับ “Always notify” สำหรับบัญชีผู้ดูแล - ตรวจหาไฟล์
dbghelp.dllที่ไม่ได้มาจาก Microsoft ในโฟลเดอร์ติดตั้งของ Microsoft Edge และไฟล์ DLL ใหม่ในโฟลเดอร์ของโปรแกรมที่ได้รับการป้องกัน - องค์กรที่ไม่ได้ใช้ Discord ในงานควรบล็อกหรือเฝ้าระวังการเชื่อมต่อไปยัง API ของ Discord และ ngrok จากเครื่องผู้ใช้ โดยเฉพาะจากโปรเซสที่ไม่ใช่เบราว์เซอร์หรือแอป Discord