Un cheval de Troie d'accès à distance (RAT) écrit en Rust, appelé CikaBika Bot, utilise Discord pour envoyer des commandes, collecter des informations système et contrôler des ordinateurs Windows infectés. La chaîne d'infection signalée tente de placer une DLL malveillante dans le répertoire d'installation de Microsoft Edge, mais les chercheurs n'ont pas confirmé qu'Edge l'ait chargée avec succès.
SecurityAffairs a signalé la campagne le 18 octobre 2026, en citant des travaux de Darktrace. Le rapport ne relie pas cette activité à une vulnérabilité ni à un CVE, et le mode de livraison initial reste non confirmé.
Un faux document mène à PowerShell et à un loader Nim
La chaîne commence par une image disque nommée Proposition_Projet.img. Elle contient un raccourci Windows déguisé en document Word, ainsi qu'un PDF qui semble être un document légitime en français sur la rédaction de synthèses.
Selon le rapport, l'ouverture du raccourci lance un processus PowerShell masqué, tandis que le PDF s'affiche pour détourner l'attention. PowerShell lit ensuite le PDF comme des données brutes et utilise une valeur dissimulée comme clé de déchiffrement pour récupérer, dans un répertoire temporaire, un loader basé sur Nim.
Ce loader embarque deux autres composants :
- Une DLL écrite en Rust
- Un script PowerShell utilisé pour préparer la DLL au sideloading
Le script copie la DLL Rust dans le dossier d'installation de Microsoft Edge et la nomme dbghelp.dll, un nom qui correspond à une bibliothèque de débogage légitime qu'Edge peut charger. Darktrace qualifie cette méthode de détournement de l'ordre de recherche des DLL.
Selon les informations disponibles, le même script modifie un paramètre du registre Windows et exploite computerdefaults.exe pour écrire dans le répertoire protégé, sans afficher d'invite de contrôle de compte utilisateur (UAC).
Il s'agit d'une tentative de détournement d'Edge en tant que processus hôte, et non d'une faille de sécurité signalée dans Edge lui-même.
Les chercheurs n'ont pas confirmé le chargement réussi de la DLL
L'étape du sideloading présente une limite technique importante. Comme le cite SecurityAffairs, Darktrace a constaté que la DLL plantée n'exporte pas toutes les fonctions listées dans la table des imports différés d'Edge. La bibliothèque malveillante peut donc être incompatible avec l'hôte sur certains systèmes.
Darktrace indique que le code démontre la voie d'exécution prévue, mais n'établit pas qu'Edge a effectivement chargé la DLL plantée dbghelp.dll. Le comportement ultérieur du RAT doit donc être considéré comme conditionné à la bonne exécution de l'implant.
Le rapport considère aussi l'image disque, le raccourci déguisé et le PDF crédible comme les signes d'un dispositif d'hameçonnage. Il s'agit toutefois d'une évaluation, et non d'une confirmation de la manière dont ces fichiers sont parvenus aux victimes potentielles.
Discord devient un canal de contrôle distinct pour chaque machine
Une fois lancé, CikaBika Bot enregistre l'ordinateur compromis via Discord et crée un canal dédié à cet appareil. Il collecte ensuite des informations sur la machine, exécute tasklist et ipconfig, réalise une capture d'écran et renvoie les résultats par ce canal.
Selon le rapport, le jeu de commandes permet à l'opérateur de :
- Ouvrir un shell distant
- Lister et terminer des processus
- Téléverser et télécharger des fichiers
- Réaliser des captures d'écran
- Accéder à la caméra
- Diffuser l'écran en continu
Discord fait office de canal de commande et de contrôle : l'opérateur peut gérer les appareils et récupérer les résultats sans maintenir de serveur C2 classique. Pour les transferts de données plus volumineux, le malware utiliserait, selon les informations, ngrok, ce qui réduit sa dépendance à Discord pour l'exfiltration tout en conservant Discord pour le contrôle interactif.
Ce que les défenseurs peuvent rechercher
Comme le rapport identifie des comportements et des noms de fichiers plutôt que des hachages ou des identifiants de service propres à la campagne, les défenseurs doivent corréler plusieurs événements au lieu de considérer un nom de fichier ou une application isolés comme une preuve de compromission.
Les points d'investigation utiles comprennent :
- L'exécution d'un fichier
.lnkprésenté comme un document Word depuis une image disque montée - Une activité PowerShell masquée immédiatement après l'ouverture du raccourci
- La lecture d'un PDF comme données brutes par PowerShell, ou l'écriture d'un exécutable dans un répertoire temporaire
- Un placement ou une modification inattendus de
dbghelp.dlldans le dossier d'installation de Microsoft Edge - Des modifications du registre et une utilisation inhabituelle de
computerdefaults.exeà proximité d'écritures dans le répertoire d'Edge - Une activité
tasklist,ipconfiget de capture d'écran, suivie de communications Discord - Un trafic Discord et ngrok provenant d'un poste qui présente la chaîne d'exécution décrite plus haut
Le nom dbghelp.dll est aussi utilisé par des logiciels légitimes ; sa seule présence ne suffit donc pas. L'origine du fichier, sa signature, sa date de création et l'activité des processus environnants fournissent le contexte nécessaire.
Les organisations qui rencontrent Proposition_Projet.img ou la chaîne de raccourcis décrite doivent isoler le poste concerné et examiner le répertoire d'installation d'Edge, l'historique PowerShell, l'activité du registre et les connexions sortantes vers Discord ou ngrok. Comme aucun CVE n'est concerné dans le rapport, la détection doit porter sur l'appât, l'exécution du script, l'écriture dans le répertoire protégé et la tentative de sideloading de DLL, plutôt que sur un correctif propre à une vulnérabilité.
