De Zuid-Aziatische groep Bitter gebruikt de nieuwe PapRAT backdoor in een spionagecampagne met meerdere infectieketens en geavanceerde functionaliteiten.
De cyberespionagegroep Bitter, ook bekend onder namen als APT-C-08 en TA397, heeft een nieuwe remote access trojan (RAT) geïntroduceerd genaamd PapRAT. Deze malware, die zowel in C++ als Rust is ontwikkeld, wordt ingezet in gerichte aanvallen op organisaties in Zuid-Azië. Onderzoekers van Fortinet FortiGuard Labs, waaronder Cara Lin, melden dat PapRAT onder meer commando-uitvoering, bestandsoverdracht, bestandsverwijdering, directory- en drive-verkenning en screenshotcaptatie ondersteunt. De Rust-variant voegt daarnaast PowerShell-uitvoering en extra commando’s toe.
De campagne valt op door het gebruik van drie verschillende infectieketens. De eerste maakt gebruik van een Windows Shortcut (LNK) bestand dat het ingebouwde ftp.exe-programma misbruikt om scripts uit te voeren en geplande taken aan te maken die verbinding houden met een command-and-control (C2) server. De tweede keten gebruikt een VHDX-schijfimage met een LNK-bestand dat een misleidende Microsoft Excel-spreadsheet opent, terwijl op de achtergrond een MSI-installer wordt gestart om PapRAT te installeren. De derde keten werkt via een URL-shortcut die een LNK-bestand ophaalt via WebDAV, waarna een MSI-installer PapRAT installeert.
De malware volgt een living-off-the-land-aanpak waarbij opdrachten worden uitgevoerd vanaf een externe server, onder andere om directory- en taaklijsten, informatie over antivirusproducten en aangekoppelde schijven te verzamelen. De verzamelde gegevens worden opgeslagen in een bestand met de naam abc.pdf en via een curl-commando teruggestuurd naar de C2-server, waarna het bestand lokaal wordt verwijderd. Een tweede scriptversie haalt een bestand talk.log op van een andere server en voert Base64-gecodeerde PowerShell-commando’s uit die aanvullende instructies ophalen.
De PapRAT-malware die via de MSI-installer wordt verspreid, ondersteunt acht commando’s voor onder meer remote shell, directorylisting, bestandverwijdering, willekeurige uitvoering, drive-verkenning, screenshotcaptatie en bestandsoverdracht naar en van de C2-server. De Rust-variant voegt drie extra commando’s toe voor PowerShell-uitvoering, pauzeren en hervatten van polling, en procesbeëindiging. De derde infectieketen combineert elementen van de eerste twee door een script te gebruiken dat een MSI-installer via curl downloadt, waarna PapRAT wordt geïnstalleerd en vervolgens WmRAT wordt gedropt, een eerder door Bitter gebruikte malware.
Deze ontwikkelingen tonen aan dat de dreigingsactor zijn toolkit blijft verfijnen om toegang tot doelwitten te vestigen en te behouden. Fortinet benadrukt het belang van het monitoren van kwaadaardig gedrag in scriptingtools, geplande taken en installer-activiteiten, naast het detecteren van bekende malwarehandtekeningen. Onverwachte LNK-bestanden, URL-shortcuts, schijfimages en MSI-pakketten, vooral wanneer ze via ongewenste berichten worden ontvangen, verdienen extra aandacht.
