Un trojan di accesso remoto scritto in Rust, chiamato CikaBika Bot, usa Discord per impartire comandi, raccogliere informazioni di sistema e controllare i computer Windows infetti. La catena di infezione riportata tenta di inserire una DLL malevola nella directory di installazione di Microsoft Edge, anche se i ricercatori non hanno confermato che Edge l'abbia caricata con successo.
SecurityAffairs ha riportato la campagna il 18 ottobre 2026, citando una ricerca di Darktrace. Il report non collega l'attività a una vulnerabilità o a un CVE, e il metodo di distribuzione iniziale resta non confermato.
Un documento falso porta a PowerShell e a un loader Nim
La catena inizia con un'immagine disco chiamata Proposition_Projet.img. Contiene un collegamento di Windows mascherato da documento Word e un PDF che sembra un documento legittimo in francese sulla redazione di riassunti.
Secondo il report, aprendo il collegamento viene avviato un processo PowerShell nascosto, mentre il PDF viene mostrato per distrarre l'utente. PowerShell legge quindi il PDF come dati grezzi e usa un valore nascosto come chiave di decifratura per recuperare, in una directory temporanea, un loader basato su Nim.
Il loader porta con sé altri due componenti:
- Una DLL scritta in Rust
- Uno script PowerShell usato per preparare la DLL al sideloading
Lo script copia la DLL in Rust nella cartella di installazione di Microsoft Edge e la chiama dbghelp.dll, lo stesso nome di una libreria di debug legittima che Edge potrebbe caricare. Darktrace ha descritto il metodo come DLL search-order hijacking.
Lo stesso script, secondo quanto riportato, modifica un'impostazione del registro di Windows e sfrutta computerdefaults.exe per scrivere nella directory protetta senza mostrare una richiesta di User Account Control.
Si tratta di un tentativo di usare Edge come processo host, non di una falla di sicurezza segnalata in Edge stesso.
I ricercatori non hanno confermato il caricamento riuscito della DLL
La fase di sideloading presenta un limite tecnico rilevante. Come riportato da SecurityAffairs, Darktrace ha rilevato che la DLL inserita non esporta tutte le funzioni elencate nella tabella delay-import di Edge. La libreria malevola potrebbe quindi essere incompatibile con l'host su alcuni sistemi.
Darktrace ha affermato che il codice dimostra il percorso di esecuzione previsto, ma non stabilisce che Edge abbia effettivamente caricato il file dbghelp.dll inserito. Il comportamento successivo del RAT va quindi inteso come subordinato al fatto che l'implant venga eseguito con successo.
Il report valuta inoltre l'immagine disco, il collegamento mascherato e il PDF verosimile come indizi di un'impostazione di phishing. Si tratta comunque di una valutazione, non della conferma di come i file siano arrivati alle potenziali vittime.
Discord diventa un canale di controllo separato per ogni host
Una volta in esecuzione, CikaBika Bot registra il computer compromesso tramite Discord e crea un canale dedicato per quel dispositivo. Poi raccoglie le informazioni sull'host, esegue tasklist e ipconfig, acquisisce uno screenshot e invia i risultati al canale.
L'insieme di comandi riportato permette all'operatore di:
- Aprire una shell remota
- Elencare e terminare i processi
- Caricare e scaricare file
- Acquisire screenshot
- Accedere alla fotocamera
- Trasmettere in streaming lo schermo
Discord funziona come canale di comando e controllo: l'operatore può gestire i dispositivi e recuperare i risultati senza mantenere un tradizionale server C2. Secondo quanto riportato, per i trasferimenti di dati più voluminosi il malware usa ngrok, riducendo la dipendenza da Discord per l'esfiltrazione e mantenendolo per il controllo interattivo.
Cosa possono cercare i difensori
Poiché il report identifica comportamenti e nomi di file anziché hash o identificativi di servizio specifici della campagna, i difensori dovrebbero correlare più eventi invece di considerare un singolo nome di file o un'applicazione come prova di compromissione.
Tra i punti utili per l'indagine:
- Esecuzione di un file
.lnkpresentato come documento Word da un'immagine disco montata - Attività PowerShell nascosta subito dopo l'apertura del collegamento
- PowerShell che legge un PDF come dati grezzi o scrive un eseguibile in una directory temporanea
- Posizionamento o modifica inattesi di
dbghelp.dllnella cartella di installazione di Microsoft Edge - Modifiche al registro e uso insolito di
computerdefaults.exein prossimità di scritture nella directory di Edge - Attività di
tasklist,ipconfige screenshot seguita da comunicazioni con Discord - Traffico verso Discord e ngrok da un endpoint che mostra la catena di esecuzione precedente
Anche il nome dbghelp.dll è usato da software legittimo, quindi la sua sola presenza non basta. Origine del file, firma, orario di creazione e attività dei processi circostanti forniscono il contesto necessario.
Le organizzazioni che individuano Proposition_Projet.img o la catena di collegamenti descritta dovrebbero isolare l'endpoint interessato ed esaminare la directory di installazione di Edge, la cronologia di PowerShell, le attività del registro e le connessioni in uscita verso Discord o ngrok. Poiché nel report non è coinvolto alcun CVE, il rilevamento deve concentrarsi sull'esca, sull'esecuzione dello script, sulla scrittura nella directory protetta e sul tentativo di sideloading della DLL, anziché su una patch specifica per una vulnerabilità.
