Darktrace documenta el CikaBika Bot, un RAT en Rust que usa Discord como centro de mando y Ngrok para exfiltrar archivos.
El análisis lo firma el equipo de investigación de la compañía británica y no atribuye nada a ningún servicio estatal. Aquí no hay APT con sello de GRU ni de MSS: hay un actor criminal que ha entendido algo que muchas empresas siguen discutiendo en comités. No necesita infraestructura propia: se la alquila a servicios legítimos. La cadena arranca con una imagen de disco bautizada Proposition_Projet.img, un nombre que en cualquier buzón corporativo español pasa por el presupuesto de un socio francés. Le adelanto el resto: ni un dominio sospechoso, ni un servidor en un país exótico.
Anatomía del engaño: del PDF en francés al UAC bypass con computerdefaults.exe
Dentro de esa imagen hay dos archivos. Un PDF en francés sobre cómo redactar resúmenes, impecable, y un acceso directo de Windows disfrazado de documento de Word. El señuelo se pinta en pantalla mientras algo se ejecuta en silencio: al abrir el acceso directo nace un proceso de PowerShell oculto que lee el PDF falso como datos en bruto y emplea un valor escondido dentro del propio archivo como clave para descifrar y extraer un programa. Ese programa aterriza en una carpeta temporal y resulta ser un cargador escrito en Nim, lenguaje poco frecuente en malware y, por tanto, menos reconocido por las herramientas de seguridad.
El cargador transporta dos piezas más: una DLL en el lenguaje Rust y un script de PowerShell. El script intenta copiar la DLL en la carpeta de instalación de Edge con el nombre dbghelp.dll, que es el de una biblioteca de depuración legítima que el navegador carga de serie. Para escribir en esa carpeta protegida sin que salte el UAC, modifica un valor del registro y abusa de computerdefaults.exe. Es DLL search-order hijacking: oficio viejo con ropaje nuevo.
Ahí está el matiz que separa un informe serio de un titular inflado. Darktrace reconoce que la DLL maliciosa no exporta todas las funciones de la tabla de importación diferida de Edge, de modo que la compatibilidad con el anfitrión es incompleta. En palabras de sus investigadores, el código observado establece la ruta de sideloading prevista, pero no demuestra que Edge haya cargado la DLL plantada. Funciona en unos equipos y en otros se queda a medio camino.
Si el implante aterriza y corre, el registro es inmediato y llamativo por su sencillez. La máquina infectada se da de alta en Discord con un canal dedicado solo para ella, ejecuta tasklist e ipconfig, captura una pantalla y lo envía todo por ahí. En segundos el operador ya tiene la foto completa de la máquina.
Un RAT que depende de la carpeta de Edge es frágil. El mismo RAT que depende de un canal gratuito de Discord, no.
Por qué el mando vive en Discord y la mercancía sale por Ngrok
El repertorio de comandos que acepta el canal cubre, casi todo lo que un atacante necesita: shell remoto, listado y terminación de procesos, subida y descarga de archivos, capturas de pantalla, acceso a la cámara y streaming del escritorio en tiempo real.
¿Por qué Discord? Porque su tráfico no llama la atención en casi ninguna red, no está bloqueado por defecto y las herramientas de endpoint no están diseñadas para leer mensajes de chat como si fueran C2. No registra dominios ni alquila servidores que alguien pueda tumbar: solo necesita una cuenta. El inconveniente, y Darktrace lo señala, es que la plataforma detecta abusos y cierra cuentas; abrir otra cuesta minutos y céntimos.
Ngrok asume la parte sucia del negocio: por ahí viajan los archivos, no por Discord. Así el operador reduce su dependencia de la plataforma y, si le cierran el canal, la exfiltración no se detiene del todo. Es una arquitectura pensada para sobrevivir a su propio desahucio.
Dos servicios gratuitos y un PDF. Ese es todo el arsenal logístico.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con entrega por ingeniería social y control remoto total. No hay zero-day de lujo ni exploit exótico; hay una imagen de disco, un acceso directo y un UAC bypass conocido. El ataque no rompe la defensa, la rodea por la puerta de confianza. En el reparto de papeles, el atacante es un actor criminal sin atribución pública; el defensor, cualquier parque Windows con Edge instalado y usuarios que abren presupuestos sin mirar la extensión; los terceros interesados, Discord, propiedad de Microsoft, y Ngrok, convertidos en infraestructura ajena sin quererlo.
El oficio lleva años moviéndose en esa dirección. En SolarWinds, atribuida al SVR, la comodidad vino de usar la infraestructura legítima del proveedor como pasarela de mando. La diferencia aquí es de escala y de ambición: aquello fue una operación de Estado contra la cadena de suministro global; esto es un RAT de manual con C2 en un chat. La técnica se ha democratizado: ya no distingue entre APT y ladrón.
A juzgar por la naturaleza del material comprometido —pantallas, archivos, cámara—, estimo un nivel de clasificación equivalente a Confidencial en cualquier organización víctima: no es un secreto de Estado, pero sí información que en manos ajenas abre chantajes, fraudes y extorsiones pequeñas que nunca llegan al periódico. Y aquí toca ser exigente con la fuente: Darktrace no confirma el método de distribución inicial, solo lo infiere por el diseño del señuelo, con ese nombre de archivo en francés y ese cebo documental. Quien afirme lo contrario está vendiendo humo.
La atribución sólida es la de la técnica, no la del autor.
En España ese tráfico convive con nosotros: en cualquier red corporativa con plantilla joven, Discord es rutina de sobremesa. El CCN-CERT lleva tiempo insistiendo en la detección de C2 sobre servicios legítimos, y sus guías son el mejor punto de partida para quien tenga que revisar reglas esta semana. Si usted dirige una red con Edge y usuarios que abren adjuntos, este es el momento de mirar qué habla con Discord desde su perímetro. Ya lo advertí en El quinto elemento: el próximo 11S empezará con un clic. La única novedad es que ese clic vendrá con un presupuesto adjunto en francés. Queda por ver si el CCN-CERT incorpora el patrón a su próxima guía de detección; el resto del trabajo es de cada casa.
