Un troyano escrito en Rust aprovecha canales dedicados de Discord para controlar sistemas Windows infectados, evadiendo detección al mimetizarse con tráfico legítimo de una plataforma usada por millones.
Investigadores de Darktrace documentaron una campaña que distribuye CikaBika Bot, un troyano de acceso remoto que transforma Discord en infraestructura de comando y control sin necesidad de servidores propios ni dominios sospechosos. El malware, escrito en Rust, crea un canal dedicado en Discord para cada dispositivo comprometido y ejecuta comandos de vigilancia, exfiltración de archivos y acceso remoto a través de mensajes en una plataforma de chat corporativo que la mayoría de las redes empresariales no bloquea por defecto.
La cadena de infección comienza con una imagen de disco llamada Proposition_Projet.img que contiene un PDF en francés sobre escritura de resúmenes y un acceso directo de Windows disfrazado de documento Word. Al abrir el acceso directo, un proceso oculto de PowerShell se ejecuta en segundo plano mientras el PDF legítimo se muestra en pantalla para mantener ocupada a la víctima. El acceso directo inicia PowerShell, que lee el PDF falso como datos sin procesar, utiliza un valor oculto dentro del archivo como clave para descifrar y extraer un programa, y lo guarda en una carpeta temporal.
Loader en Nim y bypass de UAC mediante manipulación de registro
El programa extraído es un loader escrito en Nim, un lenguaje de programación menos común en malware que C o C++. Los atacantes pueden optar por Nim porque las herramientas de seguridad están menos familiarizadas con sus patrones de compilación y ejecución. El loader contiene dos componentes adicionales: una DLL en Rust y un script de PowerShell.
El script de PowerShell intenta copiar la DLL en el directorio de instalación de Microsoft Edge y nombrarla dbghelp.dll, el nombre de una biblioteca legítima de depuración que Edge normalmente carga. Para acceder a la carpeta protegida sin activar una solicitud de Control de Cuentas de Usuario (UAC), el script cambia una configuración del registro de Windows y manipula computerdefaults.exe para eludir la verificación de seguridad. Darktrace describe la técnica como DLL search-order hijacking (secuestro de orden de búsqueda de DLL), plantando un archivo malicioso en una ubicación donde el sistema operativo lo cargará antes que la biblioteca legítima.
Los investigadores señalan que la DLL maliciosa no exporta todas las funciones que Edge espera en su tabla de importación retardada, lo que significa que su compatibilidad con el host es incompleta y la técnica puede no funcionar en todos los sistemas. El código observado establece la ruta de carga lateral prevista, pero no prueba que Edge haya cargado exitosamente la DLL plantada en todos los casos.
Registro inmediato en Discord y recopilación de información del sistema
Una vez que el implante se ejecuta, registra inmediatamente la máquina infectada en Discord, creando un canal dedicado para ese dispositivo específico. Luego recopila información del sistema, ejecuta tasklist e ipconfig, captura una pantalla y envía todo de vuelta al operador a través de ese canal. El atacante obtiene una imagen completa de la máquina en los primeros segundos de la infección.
El conjunto de comandos disponibles cubre la mayoría de las necesidades de un atacante: acceso a shell remoto, listado y terminación de procesos, carga y descarga de archivos, y funciones de vigilancia que incluyen captura de pantalla, acceso a cámara y transmisión de pantalla en tiempo real. CikaBika Bot utiliza Discord como plataforma de comando y control, permitiendo al atacante gestionar dispositivos comprometidos, ejecutar comandos y recuperar archivos sin mantener infraestructura de C2 dedicada.
Ngrok como canal alternativo de exfiltración y limitación de dependencia
Los atacantes también utilizan ngrok para transferir archivos en lugar de enviar grandes cantidades de datos a través de Discord. Esto reduce su dependencia de Discord y limita el impacto si la plataforma cierra sus cuentas. Discord es un servicio legítimo utilizado por millones de personas y organizaciones a diario. El tráfico hacia Discord no parece inusual en la mayoría de las redes, no está bloqueado por defecto, y las herramientas de seguridad de endpoint estándar no están diseñadas para tratar los mensajes de Discord como potencial tráfico de comando y control.
El atacante nunca tiene que configurar un servidor dedicado, registrar un dominio sospechoso o lidiar con infraestructura que pueda ser desmantelada. Solo necesita una cuenta de Discord. Una desventaja para los atacantes es que Discord puede detectar el abuso y cerrar las cuentas y servidores que utilizan. Sin embargo, crear nuevas cuentas es fácil y tiene un costo muy bajo, lo que convierte la detección en un juego de persecución continua en lugar de una solución definitiva.
Exposición en América Latina por dependencia de plataformas corporativas no monitoreadas
La técnica de usar Discord como infraestructura de C2 tiene implicancias particulares en América Latina, donde la adopción de plataformas de colaboración como Discord, Slack y Microsoft Teams creció aceleradamente durante la pandemia y se mantuvo en sectores de tecnología, educación y servicios profesionales. En países como Argentina, Brasil, Chile y México, muchas organizaciones permiten tráfico saliente a estas plataformas sin inspección profunda de paquetes ni análisis de comportamiento, asumiendo que son herramientas de trabajo legítimas.
Esta confianza implícita en el tráfico hacia servicios de chat corporativo crea una ventana de oportunidad para atacantes que, como en el caso de CikaBika Bot, pueden operar durante semanas sin levantar alertas en sistemas de detección de intrusiones tradicionales. La falta de capacidad de análisis de tráfico cifrado en tiempo real en muchas pymes y organismos públicos de la región amplifica el riesgo, ya que el tráfico de Discord aparece como HTTPS estándar hacia un dominio de confianza.
Nuestro análisis
CikaBika Bot representa un patrón que ya vimos en campañas anteriores que abusan de servicios legítimos como Telegram, Slack y ahora Discord para comando y control: los atacantes no necesitan infraestructura propia cuando pueden parasitar plataformas que las organizaciones ya confían y permiten por defecto. La combinación de un loader en Nim (menos conocido por las herramientas de detección), bypass de UAC mediante manipulación de registro, y DLL hijacking en una aplicación ampliamente instalada como Microsoft Edge muestra un nivel de sofisticación técnica que no requiere exploits de día cero, solo conocimiento profundo de cómo Windows busca y carga bibliotecas.
Lo que todavía no se sabe es el método de distribución inicial de la imagen de disco Proposition_Projet.img. Darktrace sugiere que el uso de un acceso directo disfrazado de documento Word, junto con un PDF de apariencia legítima en francés, indica que la campaña fue diseñada para phishing, pero no se ha confirmado si se distribuyó por correo electrónico, descarga desde sitios comprometidos, o mediante ingeniería social en redes sociales. Tampoco está claro si los atacantes están apuntando a sectores específicos o si la campaña es oportunista. La ausencia de atribución geográfica o sectorial en el análisis de Darktrace deja abierta la pregunta de si esta técnica ya está siendo replicada en otras campañas que aún no fueron documentadas públicamente. ¿Cuántas organizaciones en América Latina ya tienen canales de Discord activos en sus redes sin saber que están siendo usados para exfiltrar datos?