Специалисты подразделения Threat Response Unit (TRU) компании eSentire обнаружили новую вредоносную программу, написанную на языке Rust, которая использует легитимный сервис Discord в качестве канала управления. Бэкдор, получивший название ChaosBot, был выявлен в конце сентября 2025 года в инфраструктуре клиента из финансового сектора. Анализ демографии жертв указывает на то, что операторы вредоносной программы в основном нацелены на вьетнамоязычных пользователей, хотя географическая принадлежность не является исключительной.
Описание
Название ChaosBot было присвоено угрозе по имени профиля злоумышленника в Discord - "chaos_00019", который идентифицирован как ключевой исполнитель, отправляющий команды на зараженные устройства. Исследование показало, что для первоначального доступа в сеть злоумышленники использовали скомпрометированные учетные данные, связанные как с CiscoVPN, так и с чрезмерно привилегированной учетной записью Active Directory под именем "serviceaccount". С помощью этих учетных данных они применяли инструмент WMI для выполнения удаленных команд на системах сети, что позволило им развернуть и запустить ChaosBot.
Полезная нагрузка вредоносной программы (msedge_elf.dll) была внедрена через легитимный компонент Microsoft Edge identity_helper.exe из каталога Public user profile: C:\Users\Public\Libraries. После успешного внедрения ChaosBot использовался для проведения рекогносцировки системы и загрузки fast reverse proxy (frp) с целью установки обратного прокси в сети. Кроме того, злоумышленники экспериментировали с загрузкой Visual Studio Code и попытались настроить сервис VS Code Tunnel в качестве дополнительного бэкдора для обеспечения возможностей выполнения команд и скриптов.
По данным Szabolcs Schmidt в X, операторы ChaosBot также используют фишинговые кампании с вредоносными файлами ярлыков Windows для распространения вредоносной программы. Такой файл запускает команду PowerShell, которая загружает и выполняет ChaosBot, одновременно загружая и открывая безобидный PDF-документ, маскирующийся под официальную переписку от Государственного банка Вьетнама, чтобы ввести жертву в заблуждение.
ChaosBot написан на Rust и использует библиотеки reqwest или serenity для взаимодействия с API Discord в зависимости от варианта. Конфигурация вредоносной программы включает токен бота Discord, идентификатор сервера и идентификатор канала, через которые программа отправляет сообщения злоумышленникам при успешном заражении нового устройства. После проверки валидности токена бота ChaosBot создает новый канал с именем компьютера жертвы, после чего отправляет уведомление в канал "#general" о новом скомпрометированном устройстве. Все известные серверы Discord, аффилированные с ChaosBot, используют общий канал с названием "常规", что может указывать на использование злоумышленниками китайской версии Discord.
Основной функционал ChaosBot включает выполнение shell-команд через PowerShell с предварительной настройкой кодировки вывода на UTF8, что обеспечивает корректную обработку символов. Результаты выполнения команд, включая стандартный вывод и ошибки, скриншоты или файлы, отправляются обратно в канал Discord в виде файловых вложений. Среди поддерживаемых команд - выполнение произвольных команд, загрузка файлов на устройство жертвы, захват скриншотов и выгрузка файлов с зараженного устройства.
Новые варианты ChaosBot используют методы уклонения от обнаружения, включая патчинг функции ntdll!EtwEventWrite для обхода ETW, что препятствует сбору телеметрии системами защиты. Дополнительно вредоносная программа проверяет MAC-адреса системы на соответствие известным префиксам виртуальных машин VMWare и VirtualBox, завершая работу при обнаружении признаков анализа.
Для обеспечения устойчивого доступа злоумышленники использовали команду download для загрузки fast reverse proxy (frp) на устройство жертвы, что позволило им обходить периметровые средства безопасности и облегчило перемещение внутри сети. Конфигурация frp включала использование IP-адреса из региона AWS Asia Pacific (Гонконг). Также отмечались попытки использования Visual Studio Code Tunnels в качестве дополнительного бэкдора, хотя выполнение соответствующих команд завершилось неудачно из-за проблем с обработкой интерактивных выборов аутентификации.
На основе анализа более 12 образцов идентифицированы два аккаунта Discord, связанных с управлением ChaosBot: chaos_00019 и lovebb0024. С средней степенью уверенности предполагается, что разработчик вредоносной программы использует компьютер с именем ROSE0376, на что указывают строки в коде и наблюдаемые подключения к машинам жертв.
Обнаружение ChaosBot подчеркивает растущую тенденцию использования легитимных сервисов для организации каналов управления, что требует усиления мониторинга сетевой активности и применения многофакторной аутентификации для критически важных учетных записей.
Индикаторы компрометации
Yara
