CikaBika Bot RAT: Mã độc Rust lợi dụng Discord làm máy chủ điều khiển

Darktrace vừa công bố phát hiện một chiến dịch mã độc mới phát tán CikaBika Bot — một trojan truy cập từ xa (RAT) viết bằng ngôn ngữ Rust, sử dụng nền tảng Discord làm hạ tầng chỉ huy và kiểm soát (C&C). Đây là ví dụ điển hình cho xu hướng tội phạm mạng lợi dụng các dịch vụ hợp pháp, phổ biến để ngụy trang hoạt động độc hại và né tránh sự phát hiện của các hệ thống bảo mật truyền thống.

Mã độc được phát tán qua các chiến dịch lừa đảo trực tuyến

Cách thức phát tán và xâm nhập

Theo báo cáo của Darktrace, CikaBika Bot được phát tán thông qua các tệp đính kèm mang chủ đề tài liệu, nhiều khả năng nằm trong các chiến dịch lừa đảo phishing nhắm vào người dùng cá nhân và doanh nghiệp.

Quy trình lây nhiễm diễn ra theo nhiều lớp, được thiết kế để vượt qua các lớp phòng thủ:

• Nạn nhân nhận được một tệp PDF chứa ổ đĩa ảo (disk image) bên trong có một lối tắt Windows (LNK) được ngụy trang thành tài liệu Word.
• Khi người dùng mở tệp, một tài liệu "mồi" (decoy document) hiện ra để trấn an nạn nhân, đồng thời một tiến trình PowerShell ẩn được kích hoạt để giải mã và chạy một tệp thực thi nhúng sẵn.
• Tệp thực thi này là một loader viết bằng Nim, chứa một thư viện DLL viết bằng Rust cùng một script triển khai PowerShell. Cả hai được ghi vào các tệp tạm thời trên hệ thống.

Kỹ thuật vượt qua kiểm soát tài khoản người dùng (UAC)

Điểm đáng chú ý trong chuỗi tấn công là kỹ thuật DLL search-order hijacking (chiếm thứ tự tìm kiếm DLL). Script PowerShell cố gắng di chuyển thư viện DLL độc hại vào thư mục bảo vệ của trình duyệt Microsoft Edge nhằm vượt qua cơ chế User Account Control (UAC) của Windows.

Kẻ tấn công còn xuất các hàm liên quan đến thư viện gỡ lỗi (debugging library) của Microsoft để thực hiện sideload mã độc, khiến hệ thống tin rằng đây là một thành phần hợp lệ. Đây là thủ thuật ngày càng phổ biến, cho phép mã độc chạy với quyền cao hơn mà không cần sự chấp thuận của người dùng.

Payload cuối cùng chính là CikaBika Bot RAT. Ngay khi lây nhiễm thành công, mã độc đăng ký máy tính nạn nhân với Discord và bắt đầu quy trình do thám.

Discord trở thành trung tâm chỉ huy của mã độc

Điều khiến CikaBika Bot trở nên đáng lo ngại là việc lạm dụng Discord làm giao diện điều khiển tương tác. Thay vì dựng máy chủ C&C riêng dễ bị phát hiện, kẻ tấn công sử dụng các kênh Discord để truyền lệnh và nhận báo cáo từ các máy bị nhiễm.

Các tính năng chính mà RAT này cung cấp cho kẻ tấn công bao gồm:

• Thực thi lệnh từ xa trên máy nạn nhân.
• Thu thập thông tin hệ thống: cấu hình mạng, danh sách tiến trình đang chạy, thông tin phần cứng và phần mềm.
• Liệt kê và kết thúc tiến trình tùy ý.
• Tải lên và tải xuống tệp tin từ hệ thống bị xâm nhập.
• Giám sát qua webcam, chụp ảnh màn hình, truyền phát trực tiếp (streaming) và phát tán nội dung.
• Nén thư mục thành tệp ZIP và đánh cắp qua Ngrok — một dịch vụ tạo đường hầm (tunnel) hợp pháp thường dùng cho mục đích phát triển.
• Yêu cầu tài liệu cụ thể từ hệ thống nạn nhân theo lệnh của kẻ tấn công.

"Việc sử dụng các kênh Discord riêng cho từng nạn nhân, cùng với việc đánh cắp dữ liệu bổ sung qua Ngrok, cho thấy các dịch vụ hợp pháp có thể bị biến đổi để hỗ trợ các hoạt động độc hại." — Darktrace nhận định.

RAT ngày càng phát triển thành nền tảng giám sát tinh vi

Ý nghĩa đối với người dùng và doanh nghiệp

Sự xuất hiện của CikaBika Bot phản ánh một xu hướng đáng lo ngại: tội phạm mạng ngày càng ưa chuộng các ngôn ngữ lập trình hiện đại như Rust và Nim để tạo ra mã độc khó phân tích ngược, đồng thời lợi dụng các nền tảng đám mây phổ biến để ẩn mình trong lưu lượng mạng hợp pháp.

Với người dùng Việt Nam — nơi Discord được sử dụng rộng rãi trong cộng đồng game thủ, lập trình viên và giới trẻ — mối nguy này càng trở nên thiết thực. Doanh nghiệp và cá nhân cần lưu ý:

• Cảnh giác với tệp đính kèm từ các nguồn không xác định, đặc biệt là PDF, tệp nén và các định dạng ổ đĩa ảo (ISO, IMG).
• Không mở lối tắt LNK đi kèm tài liệu gửi qua email hoặc tin nhắn, ngay cả khi chúng trông giống tệp Word.
• Giám sát lưu lượng mạng đến các dịch vụ như Discord và Ngrok từ các máy trạm nội bộ — lưu lượng bất thường có thể là dấu hiệu của C&C.
• Cập nhật hệ thống và duy trì các giải pháp bảo mật endpoint có khả năng phát hiện hành vi bất thường.

Việc Discord và Ngrok bị lợi dụng một lần nữa cho thấy các tổ chức cần chuyển từ mô hình phòng thủ dựa trên danh sách đen (blacklist) sang giám sát hành vi liên tục, bởi các dịch vụ hợp pháp luôn có thể bị biến thành công cụ tấn công.

Cảnh báo bảo mật từ các chuyên gia an ninh mạng