Группировка Bitter развернула новый троянец PapRAT против организаций Южной Азии
Группировка Bitter, известная также как APT-C-08 и Hazy Tiger, атакует организации Южной Азии ранее не описанным троянцем удалённого доступа PapRAT. Исследователи Fortinet FortiGuard Labs выявили две версии вредоноса, написанные на C++ и Rust.
Главное в цифрах
- Группировка Bitter также известна как APT-C-08, Hazy Tiger и TA397
- Число цепочек заражения PapRAT: три
- Вредонос PapRAT выпущен в версиях на C++ и Rust
Вредонос умеет выполнять команды, загружать и выгружать файлы, удалять их, перечислять директории и диски и делать скриншоты. Rust-вариант дополнительно поддерживает PowerShell и ещё три команды.
Кампания использует три разные цепочки заражения. В одной из них скрипты собирают данные о директориях, антивирусах и подключённых дисках, сохраняют их в файл abc.pdf и отправляют на сервер злоумышленников через curl, после чего удаляют файл с компьютера. Вторая цепочка загружает файл talk.log с сайта techtalkhelp[.]com, который содержит закодированный в Base64 скрипт и выполняет команды PowerShell.
Как устроена атака
Третья цепочка объединяет элементы первых двух: скрипт загружает MSI-установщик через curl. Установщик ставит PapRAT, а тот, в свою очередь, загружает вредонос WmRAT, который ранее уже связывали с Bitter.
По данным Fortinet, команды обновляются на стороне сервера без выпуска новых бинарных файлов. Это позволяет избегать обнаружения средствами, которые отслеживают создание исполняемых файлов и внедрение в процессы.
Что это значит для защитников
Исследователи советуют отслеживать вредоносную активность в скриптовых инструментах, запланированных задачах и установщиках, а не только сигнатуры известных программ. Файлы LNK, ярлыки URL, образы дисков и пакеты MSI, особенно полученные из нежелательных сообщений, стоит считать подозрительными.
