Nya Rust-malwaret "ChaosBot" använder Discord för dold styrning
Picus Security har identifierat "ChaosBot", ett nytt, i Rust skrivet skadeprogram som utnyttjar Discord för dold kommando- och kontrollkommunikation, vilket gör det svårare för säkerhetslösningar att upptäcka.
Cybersäkerhetsföretaget Picus Security har avslöjat "ChaosBot", ett nytt skadeprogram skrivet i programmeringsspråket Rust. Detta hot använder Discord-plattformen för att dölja sin kommando- och kontrolltrafik (C2) bakom en legitim tjänst. Malwaret tillåter angripare att exekvera fjärrkommandon och samla in data från sina offer.
ChaosBot validerar sina autentiseringsuppgifter mot Discord API och skapar sedan en privat textkanal namngiven efter offrets maskin. Angripare skickar kommandon som filnedladdningar eller skärmdumps direkt in i kanalen, och offrets maskin skickar tillbaka resultaten som bifogade filer. Malwaret inkluderar även avancerade tekniker som att modifiera Windows ETW-funktioner och kontrollera virtuella maskiners MAC-adresser för att undvika upptäckt.
Picus Securitys analys beskriver ChaosBots infektionskedja och dess Discord-baserade C2-protokoll. Hotet sprids genom att utnyttja komprometterade inloggningsuppgifter för CiscoVPN och Active Directory, eller genom nätfiskekampanjer med skadliga Windows-genvägar som utger sig för att vara meddelanden från Vietnams centralbank. Genvägen aktiverar ett PowerShell-kommando som laddar ner och kör malwaret, samtidigt som det öppnar ett vilseledande PDF-dokument.
ChaosBot är utvecklat i Rust och använder antingen reqwest- eller serenity-biblioteket för API-interaktion. Malwarets konfiguration inkluderar en Discord-bot-token, ett server-ID och ett kanal-ID. Denna upptäckt belyser hur angripare ständigt utvecklar nya och mer sofistikerade metoder för att dölja skadlig aktivitet genom att använda populära kommunikationstjänster.