Bitter 黑客组织在南亚网络间谍活动中部署新型 PapRAT 后门

名为 Bitter（又名 APT-C-08、APT-Q-37、Hazy Tiger、Orange Yali、T-APT-17 和 TA397）的南亚网络间谍组织已被观察到使用一种此前未报告的远程访问木马 PapRAT 针对南亚组织。

“PapRAT 同时有 C++ 和 Rust 实现，”Fortinet FortiGuard Labs 研究员 Cara Lin 表示。“其能力包括命令执行、文件上传和下载、文件删除、目录和驱动器枚举以及屏幕截图捕获。Rust 变体增加了 PowerShell 执行和其他命令。”

该活动因使用三种不同的感染链而值得注意——

• 一个 Windows 快捷方式（LNK）文件，它滥用原生“ftp.exe”实用程序来运行脚本并创建计划任务，旨在保持与命令与控制（C2）服务器的联系。

• 一个 VHDX 磁盘映像，其中包含一个 LNK 文件，该文件会启动一个诱饵 Microsoft Excel 电子表格，同时在后台运行 MSI 安装程序以部署 PapRAT。

• 一个 URL 快捷方式（URL）文件，它通过 WebDAV 获取一个 LNK 文件，该文件随后引出一个部署 PapRAT 的 MSI 安装程序。

这种就地取材（LotL）方法旨在从远程服务器（“goodnfortunes[.]com”）执行命令，使其能够收集目录和任务列表、来自 Desktop、Documents 和 Downloads 的目录信息、已安装防病毒产品的数据以及已挂载的驱动器。

收集到的侦察信息被保存为“abc.pdf”，并通过 curl 命令外泄回 C2 服务器，随后暂存文件会从主机上删除。

已发现该脚本的第二个版本会从“techtalkhelp[.]com”获取一个名为“talk.log”的文件。该载荷包含一个 Base64 编码的脚本，用于从同一服务器获取额外指令并将其作为 PowerShell 命令执行。

“这种暂存模型为攻击者提供了操作灵活性，同时命令在服务器端更新，而无需推送新的二进制文件，避免了某些安全设备可以轻易检测到的 PE 投放和进程注入，”Fortinet 表示。

在第二条攻击链中通过 MSI 安装程序投递的 PapRAT 恶意软件旨在进行远程控制。它支持八个命令——

• MSG，用于远程 shell

• FDD，用于目录列表

• DEL，用于文件删除

• RUN，用于任意文件执行

• GDR，用于驱动器枚举

• SS1，用于屏幕截图捕获

• UPP，用于将本地文件上传到 C2 服务器（“rivingtonclarks[.]com”）

• DWW，用于从 C2 服务器下载文件

该恶意软件的 Rust 版本还包含另外三个命令——

• MS2，用于 PowerShell 命令执行

• SLP，用于休眠和恢复轮询

• BYE，用于终止进程

第三条攻击链的一个显著特点是，它通过使用脚本经由 curl 下载 MSI 安装程序，结合了前两个序列的显著特征。与之前一样，MSI 安装程序充当 PapRAT 的通道，随后 PapRAT 会继续投放 WmRAT，这是一种此前已被确认由 Bitter 使用的恶意软件。

这些发现表明，该威胁行为者继续改进其自定义武器库，以建立并维持对目标系统的访问。

Bitter 黑客在针对南亚的网络间谍活动中部署新型 PapRAT 后门

“这些变化凸显了在检测已知恶意软件特征之外，监控脚本工具、计划任务和安装程序活动中的恶意行为的重要性，”Fortinet 表示。“组织应谨慎对待意外的 LNK 文件、URL 快捷方式、磁盘映像和 MSI 软件包，尤其是当它们通过未经请求的消息投递时。”