Le nouveau malware Rust "ChaosBot" utilise Discord pour le contrôle et la commande

La société de cybersécurité Picus Security a découvert une nouvelle souche de malware nommée ChaosBot, développée en langage de programmation Rust. Cette menace utilise la plateforme Discord pour dissimuler son trafic de commande et de contrôle (C2) derrière un service légitime, rendant plus difficile la détection des activités malveillantes par les systèmes de sécurité.

ChaosBot valide ses identifiants auprès de l'API Discord et crée ensuite un canal de texte privé portant le nom de la machine de la victime. Les attaquants envoient ensuite des commandes, telles que des demandes de téléchargement de fichiers ou des captures d'écran, directement dans ce canal. La machine compromise renvoie les résultats sous forme de fichiers joints. Le malware intègre également des techniques avancées anti-analyse, notamment la modification des fonctions ETW de Windows et la vérification des adresses MAC de machines virtuelles.

Le rapport de Picus Security détaille la chaîne d'infection de ChaosBot et son protocole C2 basé sur Discord. La menace est distribuée en exploitant des identifiants CiscoVPN et Active Directory compromis, ou par le biais de campagnes de phishing utilisant des fichiers de raccourcis Windows malveillants déguisés en communications de la Banque d'État du Vietnam. Le raccourci active une commande PowerShell qui télécharge et exécute le malware tout en ouvrant simultanément un document PDF leurre.

ChaosBot est écrit en Rust et utilise la bibliothèque reqwest ou serenity pour les interactions API. La configuration du malware comprend un jeton de bot Discord, un ID de guilde et un ID de canal. Cette découverte souligne comment les attaquants développent continuellement des méthodes nouvelles et plus sophistiquées pour cacher leurs opérations malveillantes en tirant parti des services de communication populaires.