Группа Bitter использует ранее не описанный троян удалённого доступа PapRAT в кампаниях кибершпионажа против организаций Южной Азии. По данным Fortinet FortiGuard Labs, вредоносная программа существует в вариантах на C++ и Rust. Подтверждённых целей в России и СНГ исследование не приводит.
Bitter также известна как APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 и TA397. Исследователи зафиксировали три цепочки доставки PapRAT, в которых сочетаются LNK- и URL-ярлыки, образы VHDX, MSI-пакеты и штатные системные утилиты Windows.
Три сценария доставки
В первом сценарии используется Windows-ярлык LNK. Он злоупотребляет встроенной утилитой ftp.exe, чтобы запускать скрипты и создавать запланированные задачи для поддержания связи с C2.
Вторая цепочка начинается с VHDX-образа, содержащего LNK-файл. Ярлык открывает приманку в виде таблицы Microsoft Excel, а в фоновом режиме запускает MSI-установщик, развёртывающий PapRAT.
Третий вариант построен на URL-ярлыке. Через WebDAV он загружает LNK-файл, который далее приводит к запуску MSI-установщика с PapRAT. Схема объединяет элементы двух предыдущих: скрипт получает MSI-пакет с помощью curl. После установки PapRAT размещает (сбрасывает) WmRAT — вредоносную программу, которую ранее уже связывали с Bitter.
Скрипты вместо отдельных бинарных файлов
В одной из цепочек операторы применяют подход living-off-the-land: команды с сервера goodnfortunes[.]com выполняются средствами, уже присутствующими в системе. Скрипты собирают перечень каталогов и запланированных задач, сведения о содержимом папок «Рабочий стол», «Документы» и «Загрузки», данные об установленных антивирусных продуктах и смонтированных дисках.
Собранная информация сохраняется во временном файле abc.pdf, затем отправляется на C2 через curl, после чего файл удаляется с хоста. Такой набор событий — создание файла, его передача curl и последующее удаление — может быть полезен для корреляции в телеметрии.
Для проверки подобных цепочек важна возможность сопоставить запуск ftp.exe и curl, создание задач, сетевые обращения и активность MSI в одном расследовании. В этом контексте можно посмотреть официальную страницу Security Capsule SIEM для оценки применимости к требованиям инфраструктуры: проверка должна учитывать именно наблюдаемые в данной кампании события, а не только сигнатуры файлов.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Исследователи обнаружили и вторую версию скрипта. Она получает с techtalkhelp[.]com файл talk.log с Base64-кодированным скриптом. Его задача — запросить с того же сервера дополнительные инструкции и выполнить их как команды PowerShell.
По оценке Fortinet, получение инструкций с сервера позволяет операторам менять выполняемые команды без доставки нового бинарного файла. Кроме того, им не требуется размещать PE-файлы или применять инъекцию процессов — техники, которые отдельные средства защиты могут сравнительно легко обнаруживать.
Возможности PapRAT
PapRAT предназначен для удалённого управления скомпрометированной системой. Вариант, который доставляется MSI-установщиком во второй цепочке, поддерживает восемь команд:
— MSG — удалённый доступ к оболочке; — FDD — вывод списка каталогов; — DEL — удаление файлов; — RUN — запуск произвольных файлов; — GDR — перечисление дисков; — SS1 — создание снимка экрана; — UPP — выгрузка локальных файлов на C2 rivingtonclarks[.]com; — DWW — загрузка файлов с C2.
Rust-версия добавляет три команды: MS2 для выполнения команд PowerShell, SLP для перехода в режим ожидания с последующим возобновлением опроса C2 и BYE для завершения процесса. По оценке Fortinet, изменения в инструментарии Bitter указывают на дальнейшее развитие собственных средств группы для первоначального доступа и удержания присутствия в целевых системах.
Что проверить защитникам
Для российских организаций практический вывод не связан с подтверждённой активностью Bitter в регионе: таких данных в исследовании нет. Однако описанные поведенческие признаки можно учитывать при мониторинге. Стоит отслеживать подозрительные действия скриптовых средств, создание запланированных задач и активность MSI-установщиков наряду с сигнатурным обнаружением известных семейств вредоносного ПО.
Отдельного внимания требуют неожиданные LNK- и URL-ярлыки, VHDX-образы и MSI-пакеты, особенно поступившие в незапрошенных сообщениях. Приоритет при анализе стоит отдавать не отдельному запуску ftp.exe или curl, активности MSI, задачам либо ярлыкам, а связанной последовательности событий: LNK/URL или VHDX → ftp.exe и скрипт либо WebDAV/curl → создание задачи или загрузка MSI → сетевое обращение к указанным доменам либо передача abc.pdf. В телеметрии также имеет смысл проверить получение и выполнение PowerShell-инструкций из файлов с Base64-кодированием.