Un troyano de acceso remoto (RAT) escrito en Rust y llamado CikaBika Bot usa Discord para enviar comandos, recopilar datos del sistema y controlar equipos Windows infectados. Según el informe, la cadena de infección intenta colocar una DLL maliciosa en el directorio de instalación de Microsoft Edge, aunque los investigadores no confirmaron que Edge llegara a cargarla.
SecurityAffairs informó sobre la campaña el 18 de octubre de 2026, citando una investigación de Darktrace. El informe no vincula la actividad con ninguna vulnerabilidad ni con ningún CVE, y el método de entrega inicial sigue sin confirmarse.
Un documento falso conduce a PowerShell y a un cargador en Nim
La cadena comienza con una imagen de disco llamada Proposition_Projet.img. Contiene un acceso directo de Windows disfrazado de documento de Word y un PDF que parece un documento legítimo en francés sobre cómo redactar resúmenes.
Según el informe, al abrir el acceso directo se inicia un proceso de PowerShell oculto, mientras se muestra el PDF para distraer a la víctima. Después, PowerShell lee el PDF como datos sin procesar y usa un valor oculto como clave de descifrado para recuperar, en un directorio temporal, un cargador basado en Nim.
Ese cargador incorpora dos componentes más:
- Una DLL escrita en Rust
- Un script de PowerShell que prepara la DLL para el sideloading
El script copia la DLL en Rust en la carpeta de instalación de Microsoft Edge y le pone el nombre dbghelp.dll, igual que una biblioteca legítima de depuración que Edge puede cargar. Darktrace describió el método como DLL search-order hijacking.
Según el informe, el mismo script modifica un ajuste del registro de Windows y aprovecha computerdefaults.exe para escribir en el directorio protegido sin que aparezca un aviso de Control de cuentas de usuario.
Se trata de un intento de usar Edge como proceso anfitrión, no de un fallo de seguridad informado en el propio Edge.
Los investigadores no confirmaron que la DLL se cargara correctamente
La fase de sideloading tiene una limitación técnica importante. Según cita SecurityAffairs, Darktrace comprobó que la DLL plantada no exporta todas las funciones que aparecen en la tabla de importación diferida de Edge. Por tanto, la biblioteca maliciosa podría ser incompatible con el proceso anfitrión en algunos sistemas.
Darktrace afirmó que el código demuestra la ruta de ejecución prevista, pero no establece que Edge haya cargado realmente dbghelp.dll. En consecuencia, el comportamiento posterior del RAT debe entenderse como condicionado a que el implante se ejecute correctamente.
El informe también considera que la imagen de disco, el acceso directo disfrazado y el PDF verosímil son indicios de un diseño de phishing. Sin embargo, eso sigue siendo una valoración y no una confirmación de cómo llegaron los archivos a las posibles víctimas.
Discord actúa como canal de control independiente para cada equipo
Una vez en ejecución, CikaBika Bot registra el equipo comprometido a través de Discord y crea un canal dedicado para ese dispositivo. Después recopila información del host, ejecuta tasklist e ipconfig, toma una captura de pantalla y envía los resultados por el canal.
Según el informe, el conjunto de comandos permite al operador:
- Abrir una shell remota
- Listar y terminar procesos
- Subir y descargar archivos
- Tomar capturas de pantalla
- Acceder a la cámara
- Transmitir la pantalla
Discord funciona como canal de comando y control, lo que permite al operador gestionar los dispositivos y recuperar resultados sin mantener un servidor C2 convencional. Para transferencias de datos más grandes, el malware usa ngrok, según el informe. Así reduce su dependencia de Discord para la exfiltración, aunque sigue usando Discord para el control interactivo.
Qué pueden buscar los equipos de defensa
Como el informe describe comportamientos y nombres de archivo en lugar de hashes o identificadores de servicio específicos de la campaña, los defensores deben correlacionar varios eventos y no tratar un único nombre de archivo o una sola aplicación como prueba de compromiso.
Puntos útiles para la investigación:
- Ejecución de un archivo
.lnkpresentado como documento de Word desde una imagen de disco montada - Actividad oculta de PowerShell justo después de abrir el acceso directo
- PowerShell leyendo un PDF como datos sin procesar o escribiendo un ejecutable en un directorio temporal
- Colocación o modificación inesperada de
dbghelp.dlldentro de la carpeta de instalación de Microsoft Edge - Cambios en el registro y uso inusual de
computerdefaults.execerca de escrituras en el directorio de Edge - Actividad de
tasklist,ipconfigy capturas de pantalla seguida de comunicaciones con Discord - Tráfico de Discord y ngrok desde un endpoint que muestra la cadena de ejecución previa
El nombre dbghelp.dll también lo usan programas legítimos, de modo que su sola presencia no basta. El origen del archivo, su firma, su fecha de creación y la actividad de los procesos asociados aportan el contexto necesario.
Las organizaciones que encuentren Proposition_Projet.img o la cadena de acceso directo descrita deben aislar el endpoint afectado y revisar el directorio de instalación de Edge, el historial de PowerShell, la actividad del registro y las conexiones salientes a Discord o ngrok. Como el informe no implica ningún CVE, la detección debe centrarse en el señuelo, la ejecución de scripts, la escritura en el directorio protegido y el intento de sideloading de la DLL, y no en un parche específico para una vulnerabilidad.
