Ein auf Rust basierender Remote-Access-Trojaner namens CikaBika Bot nutzt Discord, um Befehle zu erteilen, Systeminformationen zu sammeln und infizierte Windows-Rechner zu steuern. Die berichtete Infektionskette versucht, eine schädliche DLL im Installationsverzeichnis von Microsoft Edge abzulegen. Die Forscher haben jedoch nicht bestätigt, dass Edge sie erfolgreich geladen hat.
SecurityAffairs berichtete am 18. Oktober 2026 über die Kampagne und berief sich dabei auf Forschungsergebnisse von Darktrace. Der Bericht bringt die Aktivität nicht mit einer Schwachstelle oder CVE in Verbindung, und der initiale Verbreitungsweg bleibt unbestätigt.
Ein gefälschtes Dokument führt zu PowerShell und einem Nim-Loader
Die Kette beginnt mit einem Disk-Image namens Proposition_Projet.img. Es enthält eine als Word-Dokument getarnte Windows-Verknüpfung sowie eine PDF-Datei, die wie ein echtes französischsprachiges Dokument über das Verfassen von Zusammenfassungen wirkt.
Laut Bericht startet das Öffnen der Verknüpfung einen versteckten PowerShell-Prozess, während als Ablenkung das PDF angezeigt wird. PowerShell liest die PDF-Datei anschließend als Rohdaten und verwendet einen verborgenen Wert als Entschlüsselungsschlüssel, um in einem temporären Verzeichnis einen Nim-basierten Loader wiederherzustellen.
Dieser Loader enthält zwei weitere Komponenten:
- Eine in Rust geschriebene DLL
- Ein PowerShell-Skript, das die DLL für das Sideloading vorbereitet
Das Skript kopiert die Rust-DLL in den Installationsordner von Microsoft Edge und benennt sie dbghelp.dll. Damit entspricht der Name einer legitimen Debugging-Bibliothek, die Edge möglicherweise lädt. Darktrace beschrieb das Verfahren als DLL-Search-Order-Hijacking.
Laut Bericht ändert dasselbe Skript außerdem eine Windows-Registrierungseinstellung und missbraucht computerdefaults.exe, um in das geschützte Verzeichnis zu schreiben, ohne dass eine Abfrage der Benutzerkontensteuerung erscheint.
Dabei wird Edge als Wirtsprozess missbraucht. Laut Bericht handelt es sich nicht um eine Sicherheitslücke in Edge selbst.
Die Forscher haben das erfolgreiche Laden der DLL nicht bestätigt
Die Sideloading-Stufe hat eine erhebliche technische Einschränkung. Wie SecurityAffairs zitiert, stellte Darktrace fest, dass die eingeschleuste DLL nicht jede der in Edges Delay-Import-Tabelle aufgeführten Funktionen exportiert. Die schädliche Bibliothek kann daher auf manchen Systemen mit dem Wirtsprozess inkompatibel sein.
Darktrace erklärte, der Code zeige den vorgesehenen Ausführungsweg, belege aber nicht, dass Edge die eingeschleuste dbghelp.dll tatsächlich geladen hat. Das spätere Verhalten des RAT ist daher als von der erfolgreichen Ausführung des Implantats abhängig zu verstehen.
Der Bericht bewertet das Disk-Image, die getarnte Verknüpfung und das plausibel wirkende PDF außerdem als Hinweise auf ein Phishing-Design. Das bleibt eine Einschätzung und keine Bestätigung dafür, wie die Dateien die potenziellen Opfer erreicht haben.
Discord wird zu einem eigenen Steuerungskanal für jeden Host
Nach dem Start registriert sich CikaBika Bot über Discord auf dem kompromittierten Rechner und legt dafür einen eigenen Kanal an. Anschließend sammelt es Informationen über das System, führt tasklist und ipconfig aus, erstellt einen Screenshot und sendet die Ergebnisse über den Kanal zurück.
Laut dem berichteten Befehlssatz kann ein Angreifer:
- Eine Remote-Shell öffnen
- Prozesse auflisten und beenden
- Dateien hochladen und herunterladen
- Screenshots erstellen
- Auf die Kamera zugreifen
- Den Bildschirm streamen
Discord dient als Command-and-Control-Kanal. So kann der Angreifer Geräte verwalten und Ergebnisse abrufen, ohne einen klassischen C2-Server betreiben zu müssen. Für größere Datenübertragungen nutzt die Malware laut Bericht ngrok. Dadurch verringert sich die Abhängigkeit von Discord für den Datenabfluss, während Discord für die interaktive Steuerung erhalten bleibt.
Worauf Verteidiger achten können
Da der Bericht Verhaltensweisen und Dateinamen beschreibt und keine kampagnenspezifischen Hashes oder Dienstkennungen nennt, sollten Verteidiger mehrere Ereignisse miteinander korrelieren, statt einen einzelnen Dateinamen oder eine einzelne Anwendung als Beweis für eine Kompromittierung zu werten.
Hilfreiche Ansatzpunkte für die Untersuchung sind:
- Ausführung einer
.lnk-Datei, die als Word-Dokument getarnt ist, von einem eingebundenen Disk-Image aus - Versteckte PowerShell-Aktivität unmittelbar nach dem Öffnen der Verknüpfung
- PowerShell, die eine PDF-Datei als Rohdaten liest oder eine ausführbare Datei in ein temporäres Verzeichnis schreibt
- Unerwartete Ablage oder Änderung von
dbghelp.dllim Installationsordner von Microsoft Edge - Registrierungsänderungen und ungewöhnliche Verwendung von
computerdefaults.exein zeitlicher Nähe zu Schreibvorgängen im Edge-Verzeichnis - Aktivität von
tasklist,ipconfigund Screenshots, gefolgt von Discord-Kommunikation - Discord- und ngrok-Verkehr von einem Endpunkt, der die vorangegangene Ausführungskette zeigt
Der Name dbghelp.dll wird auch von legitimer Software verwendet. Sein bloßes Vorhandensein reicht daher nicht aus. Herkunft, Signatur und Erstellungszeitpunkt der Datei sowie die umgebenden Prozessaktivitäten liefern den nötigen Kontext.
Organisationen, die auf Proposition_Projet.img oder die beschriebene Verknüpfungskette stoßen, sollten den betroffenen Endpunkt isolieren und das Installationsverzeichnis von Edge, den PowerShell-Verlauf, die Registrierungsaktivität sowie ausgehende Verbindungen zu Discord oder ngrok untersuchen. Da der Bericht keine CVE betrifft, sollte sich die Erkennung auf den Köder, die Skriptausführung, den Schreibzugriff auf das geschützte Verzeichnis und den Versuch des DLL-Sideloadings konzentrieren, nicht auf einen schwachstellenspezifischen Patch.
