Хакерската група Bitter користи нова задна врата PapRAT во сајбер-шпионска кампања насочена кон Јужна Азија

Сајбер-шпионската група од Јужна Азија, позната како Bitter (позната и под имињата APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 и TA397), е забележана како извршува напади врз организации во Јужна Азија, користејќи претходно нерегистриран тројанец за далечински пристап (RAT) наречен PapRAT.

„PapRAT има имплементации и во програмските јазици C++ и Rust“, изјави Cara Lin, истражувач во Fortinet FortiGuard Labs. „Неговите функционалности вклучуваат извршување команди, испраќање и преземање датотеки, бришење датотеки, пребарување и прикажување директориуми и дискови, како и правење снимки од екранот. Варијантата напишана во Rust овозможува и извршување PowerShell команди и други наредби.“

Кампањата е особено значајна поради употребата на три различни начини за инфицирање на системите:

• Windows Shortcut (LNK) датотека која ја злоупотребува вградената системска алатка „ftp.exe“ за извршување скрипти и креирање закажани задачи, со цел одржување комуникација со сервер за команда и контрола (C2).
• VHDX-датотека со виртуелен диск која содржи LNK-датотека што отвора лажна Microsoft Excel табела, додека во заднина се извршува MSI-инсталер за инсталирање на PapRAT.
• URL-датотека со кратенка која презема LNK-датотека преку WebDAV, по што се активира MSI-инсталерот што го инсталира PapRAT.

Пристапот познат како Living off the Land (LotL) е дизајниран за извршување команди од оддалечен сервер („goodnfortunes[.]com“). На овој начин, малициозниот софтвер може да собира списоци со директориуми и задачи, информации за директориумите Desktop, Documents и Downloads, податоци за инсталираните антивирусни програми, како и информации за поврзаните дискови.

Собраните информации за системот се зачувуваат во датотека со име „abc.pdf“, а потоа се испраќаат до C2-серверот преку командата curl. По завршувањето на преносот, привремено креираната датотека се брише од компромитираниот систем.

Откриена е и втора верзија на скриптата, која презема датотека наречена „talk.log“ од серверот „techtalkhelp[.]com“. Payload-от содржи скрипта кодирана со Base64, чија цел е да добие дополнителни инструкции од истиот сервер и да ги изврши како PowerShell команди.

„Овој модел на поставување и извршување на малициозниот код му овозможува на напаѓачот оперативна флексибилност, бидејќи командите може да се ажурираат директно на серверот, без потреба од испраќање нова бинарна датотека. На тој начин се избегнуваат преземањето PE-датотеки и инјектирањето процеси – техники што некои безбедносни решенија можат лесно да ги детектираат“, соопшти Fortinet.

Малициозниот софтвер PapRAT, кој се доставува преку MSI-инсталерот во вториот синџир на нападот, е дизајниран за далечинско управување со компромитираните системи. Поддржува осум команди:

• MSG – за далечинска командна школка (remote shell).
• FDD – за прикажување на содржината на директориумите.
• DEL – за бришење датотеки.
• RUN – за извршување произволни датотеки.
• GDR – за пребарување и прикажување на дисковите.
• SS1 – за правење снимки од екранот.
• UPP – за испраќање локални датотеки до C2-серверот („rivingtonclarks[.]com“).
• DWW – за преземање датотеки од C2-серверот.

Rust-верзијата на малициозниот софтвер вклучува уште три дополнителни команди:

• MS2 – за извршување PowerShell команди.
• SLP – за мирување (sleep) и повторно продолжување со проверките (polling).
• BYE – за прекинување на процесот.

Значаен аспект на третиот синџир на напад е тоа што ги комбинира клучните елементи од првите два начини на инфицирање, користејќи скрипта за преземање MSI-инсталер преку алатката curl. Како и во претходните случаи, MSI-инсталерот служи за доставување на PapRAT, кој потоа го инсталира и малициозниот софтвер WmRAT, за кој претходно беше утврдено дека го користи групата Bitter.

Наодите укажуваат дека оваа хакерска група продолжува да го усовршува сопствениот арсенал на малициозни алатки со цел да воспостави и одржува пристап до целните системи.

„Овие промени ја нагласуваат важноста од следење на сомнителните активности поврзани со скриптните алатки, закажаните задачи и активностите на инсталерите, паралелно со откривањето на познатите сигнатури на малициозен софтвер“, соопшти Fortinet.

„Организациите треба да бидат претпазливи со неочекувани LNK-датотеки, URL-кратенки, слики од дискови и MSI-пакети, особено кога се доставуваат преку несакани пораки.“

Извори:

• The Hacker News – Bitter Hackers Deploy New PapRAT Backdoor in Cyberespionage Campaign Targeting South Asia The Hacker News