Южноазиатская группа кибершпионажа, известная как Bitter (также APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 и TA397), была замечена в атаках на организации Южной Азии с использованием ранее не задокументированного трояна удаленного доступа под названием PapRAT.
«PapRAT имеет реализации на C++ и Rust, — сообщила Кара Лин, исследователь из Fortinet FortiGuard Labs. — Его возможности включают выполнение команд, загрузку и скачивание файлов, удаление файлов, перечисление каталогов и дисков, а также создание снимков экрана. Вариант на Rust добавляет выполнение PowerShell и другие команды».
Кампания примечательна использованием трех различных цепочек заражения.
Подход «жизнь за счет земли» (LotL) предназначен для выполнения команд с удаленного сервера («goodnfortunes[.]com»), что позволяет собирать списки каталогов и задач, информацию о каталогах на рабочем столе, в документах и загрузках, данные об установленных антивирусных продуктах и подключенных дисках.
Собранная разведывательная информация сохраняется как «abc.pdf» и передается обратно на C2-сервер с помощью команды curl, после чего промежуточный файл удаляется с хоста.
Вторая версия скрипта была обнаружена при загрузке файла «talk.log» с «techtalkhelp[.]com». Полезная нагрузка содержит скрипт в кодировке Base64 для получения дополнительных инструкций с того же сервера и их выполнения в виде команд PowerShell.
«Эта модель промежуточной загрузки дает атакующему операционную гибкость, при этом команды обновляются на стороне сервера без отправки нового бинарного файла, что позволяет избежать сбросов PE и внедрения процессов, которые некоторые средства защиты могут легко обнаружить», — заявили в Fortinet.
Вредоносное ПО PapRAT, доставляемое через установщик MSI во второй цепочке атак, предназначено для удаленного управления. Оно поддерживает восемь команд.
Версия вредоносного ПО на Rust включает еще три команды.
Примечательным аспектом третьей цепочки атак является то, что она объединяет ключевые особенности первых двух последовательностей, используя скрипт для загрузки установщика MSI через curl. Как и раньше, установщик MSI служит проводником для PapRAT, который затем приступает к развертыванию WmRAT, вредоносного ПО, ранее идентифицированного как используемое Bitter.
Полученные данные указывают на то, что угроза продолжает совершенствовать свой собственный арсенал для установки и поддержания доступа к целевым системам.
«Эти изменения подчеркивают важность мониторинга вредоносного поведения в инструментах сценариев, запланированных задачах и активности установщиков наряду с обнаружением известных сигнатур вредоносного ПО, — заявили в Fortinet. — Организациям следует с осторожностью относиться к неожиданным LNK-файлам, URL-ярлыкам, образам дисков и MSI-пакетам, особенно при доставке через нежелательные сообщения».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
