Eksperci z Darktrace zidentyfikowali nową kampanię wykorzystującą RAT o nazwie CikaBika Bot, napisanego w języku Rust. Atak rozpoczyna się od phishingu, w którym ofiara otrzymuje plik PDF zawierający obraz dysku z zainfekowanym skrótem LNK, podszywającym się pod dokument Word. Po uruchomieniu, ukryty proces PowerShell dekoduje i wykonuje złośliwy loader napisany w języku Nim.
Mechanizm infekcji obejmuje próbę obejścia kontroli konta użytkownika (UAC) poprzez przeniesienie biblioteki DLL do chronionego katalogu przeglądarki Edge. Atakujący stosują technikę DLL search-order hijacking, wykorzystując funkcje eksportowane z bibliotek debugujących Microsoftu. Pozwala to na skuteczne sideloading złośliwego kodu.
Po zainfekowaniu systemu, CikaBika Bot rejestruje się na serwerach Discord, który służy jako platforma Command & Control. Poprzez kanały Discord, napastnicy mogą zarządzać zainfekowaną maszyną, przeprowadzać rozpoznanie, monitorować użytkownika (zrzuty ekranu, kamera, streaming) oraz zarządzać plikami. Do eksfiltracji danych, takich jak skompresowane archiwa ZIP, wykorzystywane jest dodatkowo narzędzie Ngrok.
