BITTER Powiększa Swoje Arsenał Malware o PapRAT

Podsumowanie

Południowoazjatycka grupa cyber-espionage BITTER prowadzi kampanie wykorzystujące niestandardowe trojany zdalnego dostępu (RAT) znane jako PapRAT i WmRAT. Ataki opierają się na wielu łańcuchach infekcji, które wykorzystują pliki LNK, obrazy VHDX i instalatory MSI do ustanowienia trwałości i wykonywania poleceń. Złośliwe oprogramowanie ewoluowało też z implementacji C++ do bardziej zaawansowanych wariantów opartych na Rust.

Śledztwo

Labs FortiGuard przeanalizowały trzy odrębne łańcuchy ataków skierowane przeciwko organizacjom w całej Azji Południowej. Śledztwo zidentyfikowało nadużycia LOLBinów takich jak ftp.exe i curl, obok różnych technik etapowania zaprojektowanych, aby unikać zabezpieczeń. Analiza złośliwego oprogramowania również odkryła skonfigurowane C2 kodowane w XOR oraz przeskok z implantów C++ na nowsze złośliwe oprogramowanie oparte na Rust.

Złagodzenie

Organizacje powinny zachować ostrożność przy obsłudze niezamówionych plików LNK, skrótów URL, obrazów dysków i paczek MSI. Zespoły ds. bezpieczeństwa powinny wdrożyć kontrole wykrywające podejrzane łańcuchy wykonywania, tworzenie zaplanowanych zadań i niecodzienny wychodzący ruch C2. Szkolenie użytkowników w zakresie pułapek phishingowych i złośliwych załączników jest również niezbędne.

Reakcja

Gdy wykryje się złośliwą aktywność, izoluj zainfekowane hosty, aby zapobiec lateralnemu przemieszczaniu się i dalszemu wykonywaniu poleceń. Przejrzyj zaplanowane zadania i dzienniki instalacji MSI w poszukiwaniu nieautoryzowanych zmian. Przeprowadź analizę śledczą trwałych artefaktów takich jak err.log or talk.log, i sprawdź wychodzący ruch sieciowy pod kątem połączeń z zidentyfikowanymi lub podejrzanymi domenami C2.

Symulacja wykonania

• Narracja ataku i komendy: Przeciwnik dąży do ustanowienia trwałości na maszynie ofiary, aby zapewnić, że ich złośliwy ładunek wykonuje się co 30 minut, ułatwiając ciągłe połączenie z ich infrastrukturą Command and Control (C2). Aby wtopić się w legalną aktywność systemową i unikać wykrycia opartego na prostych sygnaturach, atakujący wykorzystuje natywne narzędzie Windows schtasks.exe użyteczność. Wybierają nazwę zadania wprowadzającą w błąd, MicrosoftUpdatesupdates11678, imitując legitymowalną usługę aktualizacji Windows, aby ukryć się na widoku w bibliotece Harmonogramu zadań.

• Skrypt testowy regresji:

  # Skrypt symulacyjny, który uruchamia określoną regułę wykrywania
  # Ten skrypt naśladuje mechanizm trwałości grupy BITTER.
  
  $TaskName = "MicrosoftUpdatesupdates11678"
  $Command = "cmd.exe /c echo 'Symulacja Błyskowicznego Lądowania'"
  
  Write-Host "[+] Próba stworzenia zaplanowanego zadania: $TaskName" -ForegroundColor Cyan
  
  # Wykonaj polecenie, które dokładnie odpowiada logice wykrycia
  # Logika szuka: schtasks.exe + /create + /sc minute + /mo 30 + 'nazwa zadania'
  schtasks /create /sc minute /mo 30 /tn "$TaskName" /tr "$Command" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] SUKCES: Zaplanowane zadanie zostało utworzone. Sprawdź SIEM, aby zobaczyć alert." -ForegroundColor Green
  } else {
      Write-Host "[-] NIEUDANA PRÓBA: Nie można było utworzyć zadania. Upewnij się, że działasz jako administrator." -ForegroundColor Red
  }

• Komendy czyszczące:

  # Skrypt czyszczący w celu usunięcia symulowanego mechanizmu trwałości
  $TaskName = "MicrosoftUpdatesupdates11678"
  
  Write-Host "[+] Usuwanie zaplanowanego zadania: $TaskName" -ForegroundColor Cyan
  schtasks /delete /tn "$TaskName" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] Czyszczenie zakończone sukcesem." -ForegroundColor Green
  } else {
      Write-Host "[-] Czyszczenie nie udało się. Wymagane ręczne usunięcie." -ForegroundColor Red
  }