Een Discord RAT-campagne heeft recent de aandacht getrokken: onderzoekers zagen een malware-actie die een Rust-gebaseerde RAT inzet en Discord gebruikt voor command-and-control (C&C). De aanpak draait om het misbruiken van normale communicatiekanalen, terwijl de aanvaller op afstand systemen kan besturen, gegevens kan verzamelen en zelfs kan surveilleren.
In dit artikel lees je hoe CikaBika Bot wordt verspreid, welke technische stappen onderdeel zijn van de keten en welke acties organisaties kunnen nemen om schade te beperken.
Wat is CikaBika Bot en waarom Discord?
De campagne, door onderzoekers aangeduid als CikaBika Bot, levert een remote access trojan (RAT) op. Zodra een slachtoffer geïnfecteerd is, registreert de malware de machine bij Discord en start het verzamelen van informatie. Discord fungeert daarbij als een interactieve laag: de aanvaller verstuurt commando’s via Discord-kanalen, en de malware antwoordt met rapportage.
Het opvallende is dat de communicatie loopt via een legitieme dienst. Dat verlaagt de kans dat verdacht gedrag direct opvalt, zeker wanneer organisaties Discord al gebruiken voor reguliere samenwerking.
De aanval begint met phishing: PDF met disk image
Volgens de onderzoekers wordt de malware waarschijnlijk verspreid via phishing. Slachtoffers ontvangen een document-achtige PDF die een disk image bevat. In de disk image zit een Windows-snelkoppeling (LNK) die zich voordoet als een Word-document.
Wanneer de gebruiker het LNK-bestand opent, verschijnt een decoy-document om de aandacht af te leiden. Tegelijkertijd start er een verborgen PowerShell-proces dat een ingesloten uitvoerbaar bestand decodeert en vervolgens uitvoert.
Rust DLL, Nim-loader en PowerShell deployment
Het eindresultaat van de eerste fase is een complexere laadvorm. De beschreven loader is Nim-gebaseerd en bevat een Rust DLL plus een PowerShell deployment script. De loader schrijft de benodigde componenten naar tijdelijke locaties op het systeem, zodat de volgende stap kan worden uitgevoerd zonder dat alles direct “vast” op een klassieke plek belandt.
Daarna probeert het script de kwaadaardige DLL naar een specifieke, beschermde map te verplaatsen—genoemd wordt de Edge-directory—met als doel Windows User Account Control (UAC) te omzeilen.
DLL search-order hijacking en UAC-bypass
Een kernonderdeel van de aanval is het vermoedelijke gebruik van DLL search-order hijacking. Daarbij kan een aanvaller misbruik maken van hoe Windows DLL’s zoekt bij het laden van software. De onderzoekers geven aan dat de malafide component functies exporteert die gelinkt zijn aan een Microsoft debugging library. Dit is bedoeld om de plaatsing en het laden van de DLL plausibel te laten lijken binnen het procespad van het slachtoffer.
In de praktijk betekent dit: zodra het proces start dat de DLL verwacht, kan de aanvaller een eigen DLL mee laten draaien in plaats van de legitieme variant.
Na infectie: registratie bij Discord en snelle recon
Zodra de CikaBika Bot RAT draait, vindt direct controle en informatieverzameling plaats. De malware registreert de geïnfecteerde machine bij Discord en start een reconnaissance-routine. Daarbij verzamelt het systeeminformatie, processen en netwerkconfiguratiegegevens.
Daarnaast neemt de malware ook screenshots. Dit past in een breder patroon van surveillance: niet alleen data exfiltreren, maar ook inhoud en activiteit zichtbaar maken.
Wat kan de aanvaller via Discord?
Discord werkt als interactieve interface voor de operator. Vanuit Discord kunnen opdrachten worden gegeven voor onder meer:
- Remote command execution (commando’s uitvoeren op het systeem)
- Reconnaissance en systeemverkenning
- Process enumeration en het beëindigen van processen
- Bestandstransfers: upload/download
- Surveillance: screenshot, camera, streaming en broadcasting
Een belangrijk signaal is dat Discord-kanalen per slachtoffer lijken te worden ingezet. Dat betekent dat communicatie niet alleen centraal is, maar ook gericht per slachtoffer kan worden geconfigureerd.
Exfiltratie met ZIP en Ngrok
Naast Discord noemt de rapportage ook aanvullende exfiltratie-ondersteuning. De RAT kan mappen samenpersen tot ZIP-archieven. Vervolgens vindt exfiltratie plaats via Ngrok.
Dit is extra relevant: zelfs als je Discord-verkeer detecteert of blokkeert, kan data (deels) via een andere route worden weggehaald. Denk dus aan verdediging in lagen: netwerkcontrole, endpointdetectie en monitoring van zowel command-and-control als exfiltratiepaden.
Waarom dit type campagne lastig te herkennen is
De onderzoekers benadrukken dat het gebruik van een “legitieme” service zoals Discord kwaadwillend gedrag kan ondersteunen. Voor verdedigers betekent dit dat je niet alleen moet kijken naar bekende malware-indicatoren, maar ook naar patronen zoals:
- Afwijkende Discord-activiteit vanaf endpoints die Discord niet gebruiken
- Onverwachte procesketens met verborgen PowerShell-uitvoering
- DLL-gerelateerde stappen rond UAC-gevoelige paden
- Exfiltratie via onverwachte tunnels of tooling
Wil je inspiratie voor het veilig testen en beoordelen van geautomatiseerde dreigingen of (semi-)autonome tooling? Bekijk dan ook het artikel over AI-agenten in OT in minuten testen: zo doe je het veilig. De insteek is anders, maar de basis—veiligheid in verificatie en het voorkomen van ongecontroleerde uitvoer—sluit aan op dezelfde verdedigingsfilosofie.
Praktische aanbevelingen voor organisaties
Op basis van de beschreven keten kun je je voorbereiden met concrete maatregelen. Hieronder staan acties die passen bij de scenario’s uit de Discord RAT-campagne.
1) Versterk bescherming rond phishing en LNK-misbruik
Omdat de instap begint met document-achtige lures (PDF met disk image en LNK), is het belangrijk om te letten op verdachte bijlagen en gedrag. Zorg dat e-mail- en documentgatewaybeleid LNK-bestanden en disk images extra streng behandelt, en train medewerkers op het herkennen van decoy-pagina’s.
2) Monitor verborgen PowerShell en procesketens
De campagne start met een verborgen PowerShell-proces om de volgende component te decoderen en uit te voeren. Zet daarom logging en alerting aan op PowerShell-gedrag (zeker bij onverwachte spawn van PowerShell vanaf processen die dat niet normaal doen).
3) Let op DLL-laadgedrag en UAC-omzeilpatronen
De beschreven stap richting Edge-map en het vermoedelijke DLL search-order hijacking maakt het relevant om endpointtelemetrie te gebruiken die DLL-laden, padkeuzes en verdachte export-gedragingen zichtbaar maakt. Combineer dit met least privilege en controle op verdachte schrijfacties in gevoelige directories.
4) Breng C&C-routes in kaart, inclusief “legitieme” diensten
Als Discord onderdeel is van C&C, dan helpt netwerk- en egress-monitoring om verkeer vanuit endpoints te detecteren dat niet past bij hun rol. Hetzelfde geldt voor omgevingen waar Discord normaal geen onderdeel is van bedrijfsprocessen.
5) Controleer exfiltratie: ZIP-archieven en tunneling
Omdat ZIP-compressie en Ngrok-exfiltratie worden genoemd, is het verstandig om detectie te richten op bestandscompressie gevolgd door netwerkactiviteit naar tunneldiensten. Zie dit als een “vervolgstap” na verdachte endpointgedragingen.
Conclusie
De beschreven Discord RAT-campagne met CikaBika Bot laat zien hoe aanvallers legitieme platforms kunnen inzetten als command-and-control. Vanaf phishing met PDF/LNK tot aan PowerShell-decoding, UAC-omzeiling via DLL-paden en vervolgens recon en surveillance: de keten is gericht op snelle controle én heimelijke communicatie.
Door je verdediging te concentreren op meerdere schakels—phishingdetectie, proces- en DLL-monitoring, C&C-insight en exfiltratiecontrole—vergroot je de kans om besmetting vroeg te stoppen en verdere schade te beperken.
Bron: https://www.securityweek.com/cikabika-bot-rat-uses-discord-for-cc/
