Группировка Bitter атакует организации Южной Азии с помощью ранее не описанного трояна удалённого доступа PapRAT. В отчётах её также называют APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 и TA397. Исследователь Cara Lin из Fortinet FortiGuard Labs обнаружила у PapRAT реализации на C++ и Rust. Кампания использует три цепочки заражения и активно опирается на штатные инструменты Windows и скрипты.
PapRAT умеет выполнять команды, передавать файлы на сервер и скачивать их, удалять файлы, просматривать каталоги и диски, а также делать снимки экрана. Версия, доставляемая через MSI-установщик, поддерживает восемь команд: MSG открывает удалённую командную оболочку, FDD выводит содержимое каталогов, DEL удаляет файлы, RUN запускает произвольные файлы, GDR перечисляет диски, SS1 делает снимок экрана, UPP отправляет локальные файлы на сервер управления
Вариант на Rust получил три дополнительные команды. MS2 выполняет команды PowerShell, SLP приостанавливает и возобновляет опрос сервера, BYE завершает процесс. Эти функции позволяют операторам менять режим работы заражённой машины без физического доступа к ней.
В первой цепочке злоумышленники используют ярлык Windows LNK, который задействует штатную утилиту
Третья цепочка начинается с URL-ярлыка, который через WebDAV получает LNK-файл. Затем ярлык запускает MSI-установщик. Эта схема сочетает приёмы двух предыдущих: скрипт скачивает установщик командой
Для разведки группировка применяет подход living-off-the-land (LotL): использует легитимные системные средства и выполняет команды, полученные с
В другой версии скрипта с
Кампания показывает, что Bitter продолжает развивать собственный набор инструментов для получения и сохранения доступа к целевым системам. Fortinet рекомендует отслеживать необычную активность скриптовых средств, создание запланированных заданий и работу установщиков, а также проверять системы на известные сигнатуры вредоносных программ. Особую осторожность стоит проявлять с неожиданными LNK-файлами, URL-ярлыками, образами VHDX и пакетами MSI, пришедшими в незапрошенных сообщениях.
PapRAT умеет выполнять команды, передавать файлы на сервер и скачивать их, удалять файлы, просматривать каталоги и диски, а также делать снимки экрана. Версия, доставляемая через MSI-установщик, поддерживает восемь команд: MSG открывает удалённую командную оболочку, FDD выводит содержимое каталогов, DEL удаляет файлы, RUN запускает произвольные файлы, GDR перечисляет диски, SS1 делает снимок экрана, UPP отправляет локальные файлы на сервер управления
rivingtonclarks[.]com, а DWW скачивает файлы с него. Вариант на Rust получил три дополнительные команды. MS2 выполняет команды PowerShell, SLP приостанавливает и возобновляет опрос сервера, BYE завершает процесс. Эти функции позволяют операторам менять режим работы заражённой машины без физического доступа к ней.
В первой цепочке злоумышленники используют ярлык Windows LNK, который задействует штатную утилиту
ftp.exe для запуска скриптов. Те создают запланированные задания, чтобы поддерживать связь с сервером управления и контроля, или C2. Во второй цепочке жертве доставляют образ диска VHDX с LNK-файлом внутри: ярлык открывает приманку в Microsoft Excel, пока в фоновом режиме MSI-установщик разворачивает PapRAT. Третья цепочка начинается с URL-ярлыка, который через WebDAV получает LNK-файл. Затем ярлык запускает MSI-установщик. Эта схема сочетает приёмы двух предыдущих: скрипт скачивает установщик командой
curl, а MSI служит проводником для PapRAT. После этого вредоносная программа устанавливает WmRAT, ранее уже связывавшийся с Bitter. Для разведки группировка применяет подход living-off-the-land (LotL): использует легитимные системные средства и выполняет команды, полученные с
goodnfortunes[.]com. Скрипты собирают списки каталогов и запланированных заданий, сведения о папках Desktop, Documents и Downloads, установленных антивирусах и подключённых дисках. Результат сохраняется в файл abc.pdf, который затем отправляется на C2 с помощью curl; после передачи копия удаляется с компьютера жертвы. В другой версии скрипта с
techtalkhelp[.]com загружается файл talk.log. В нём находится скрипт, закодированный в Base64: он получает новые инструкции с того же сервера и запускает их как команды PowerShell. По оценке Fortinet, такая схема позволяет менять задания на сервере без отправки нового исполняемого файла. Операторы также обходятся без сброса PE-файлов на диск и внедрения кода в процессы — приёмов, которые некоторые средства защиты могут заметить быстрее. Кампания показывает, что Bitter продолжает развивать собственный набор инструментов для получения и сохранения доступа к целевым системам. Fortinet рекомендует отслеживать необычную активность скриптовых средств, создание запланированных заданий и работу установщиков, а также проверять системы на известные сигнатуры вредоносных программ. Особую осторожность стоит проявлять с неожиданными LNK-файлами, URL-ярлыками, образами VHDX и пакетами MSI, пришедшими в незапрошенных сообщениях.
