Uusi Rust-haittaohjelma "ChaosBot" käyttää Discordia tiedusteluunsa
Picus Security on tunnistanut uuden, Rustilla kirjoitetun haittaohjelman nimeltä ChaosBot, joka hyödyntää Discord-viestintäalustaa komento- ja ohjaustoimintoihinsa piiloutuakseen verkon valvontaa.
Kyberturvallisuusyritys Picus Security on paljastanut uuden, Rust-ohjelmointikielellä toteutetun haittaohjelman, jota kutsutaan nimellä ChaosBot. Tämä uhka käyttää Discord-alustaa piilottaakseen komentojen ja ohjausten (C2) liikenteensä laillisen palvelun alle. Haittaohjelma mahdollistaa hyökkääjille etäkomentojen suorittamisen ja tietojen keräämisen uhreista.
ChaosBot käyttää Discord APIa todentamiseen ja luo sitten yksityisen kanavan uhrin koneen nimellä. Hyökkääjät lähettävät komentoja, kuten tiedostojen latauspyyntöjä tai näyttökuvien sieppausta, suoraan tähän kanavaan. Uhriin kohdistettu kone lähettää tulokset takaisin liitetiedostoina. Ohjelma sisältää myös kehittyneitä tekniikoita, kuten Windowsin ETW-funktion muokkaamista ja virtuaalikoneiden MAC-osoitteiden tarkistamista, jotta se pystyisi välttämään tietoturvatutkimusta.
Picus Securityn raportti kuvaa ChaosBot-haittaohjelman tartuntaketjun ja sen Discordiin perustuvan C2-protokollan. Uhka leviää hyödyntämällä anastettuja CiscoVPN- ja Active Directory -tunnuksia tai levittämällä haitallisia Windows-pikakuvakkeita, jotka naamioituvat Vietnamilaisesta pankista tuleviksi tiedotteiksi. Pikakuvake aktivoi PowerShell-komennon, joka lataa ja suorittaa haittaohjelman samalla kun avaa harhaanjohtavan PDF-tiedoston.
ChaosBotin kehityksessä on käytetty Rust-kieltä ja joko reqwest- tai serenity-kirjastoa API-vuorovaikutukseen. Haittaohjelman konfiguraatioon kuuluu Discord-botin tokeni, palvelimen ID ja kanavan ID. Tämä löydös korostaa, kuinka hyökkääjät jatkuvasti kehittävät uusia ja ovelampia tapoja piilottaa haitallinen toimintansa käyttämällä suosittuja viestintäpalveluita.