BITTER erweitert sein Malware-Arsenal mit PapRAT

Zusammenfassung

Die südasianische Cyber-Spionagegruppe BITTER führt Kampagnen durch, bei denen benutzerdefinierte Remote-Access-Trojaner (RATs), bekannt als PapRAT und WmRAT, eingesetzt werden. Die Angriffe basieren auf mehreren Infektionsketten, die LNK-Dateien, VHDX-Abbilder und MSI-Installer verwenden, um Persistenz zu etablieren und Befehle auszuführen. Die Malware hat sich von C++ Implementierungen zu leistungsfähigeren Rust-basierten Varianten entwickelt.

Untersuchung

FortiGuard Labs analysierte drei unterschiedliche Angriffsketten, die auf Organisationen in Südasien abzielen. Die Untersuchung identifizierte den Missbrauch von LOLBins wie ftp.exe und curl sowie verschiedene Staging-Techniken, die darauf ausgelegt sind, Sicherheitskontrollen zu umgehen. Die Malware-Analyse deckte auch XOR-codierte C2-Konfigurationen auf und einen Übergang von C++-Implantaten zu neueren rust-basierten Malware.

Minderung

Organisationen sollten beim Umgang mit unerwünschten LNK-Dateien, URL-Verknüpfungen, Festplattenabbildern und MSI-Paketen vorsichtig bleiben. Sicherheitsteams sollten Kontrollen implementieren, um verdächtige Ausführungsketten, die Erstellung geplanter Aufgaben und ungewöhnlichen ausgehenden C2-Traffic zu erkennen. Benutzerbewusstseinstrainings, die sich auf Phishing-Köder und bösartige Anhänge konzentrieren, sind ebenfalls essenziell.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie kompromittierte Hosts, um laterale Bewegungen und weitere Befehlsausführungen zu verhindern. Überprüfen Sie geplante Aufgaben und MSI-Installationsprotokolle auf unautorisierte Änderungen. Führen Sie eine forensische Analyse von persistenten Artefakten wie err.log or talk.logdurch und inspizieren Sie ausgehenden Netzwerkverkehr auf Verbindungen zu identifizierten oder verdächtigen C2-Domänen.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner zielt darauf ab, Persistenz auf dem Opfergerät aufzubauen, um sicherzustellen, dass ihre bösartige Nutzlast alle 30 Minuten ausgeführt wird, wodurch eine kontinuierliche Verbindung zu ihrer Command-and-Control (C2) Infrastruktur erleichtert wird. Um mit legitimen Systemaktivitäten zu verschmelzen und einfache signaturbasierte Erkennung zu umgehen, nutzt der Angreifer die native Windows schtasks.exe Dienstprogramm. Sie wählen einen irreführenden Aufgabennamen, MicrosoftUpdatesupdates11678, der einen legitimen Windows-Update-Dienst imitiert, um sich im Task Scheduler innerhalb der Bibliothek unauffällig zu verbergen.

• Regressionstest-Skript:

  # Simulationsskript zum Auslösen der spezifischen Erkennungsregel
  # Dieses Skript ahmt den Persistenzmechanismus der Gruppe BITTER nach.
  
  $TaskName = "MicrosoftUpdatesupdates11678"
  $Command = "cmd.exe /c echo 'C2 Beaconing Simulation'"
  
  Write-Host "[+] Versuch, geplante Aufgabe zu erstellen: $TaskName" -ForegroundColor Cyan
  
  # Führen Sie den Befehl aus, der die Erkennungslogik genau erfüllt
  # Logik sucht nach: schtasks.exe + /create + /sc minute + /mo 30 + task name
  schtasks /create /sc minute /mo 30 /tn "$TaskName" /tr "$Command" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] ERFOLG: Geplante Aufgabe erstellt. Überprüfen Sie SIEM auf Alarm." -ForegroundColor Green
  } else {
      Write-Host "[-] FEHLER: Aufgabe konnte nicht erstellt werden. Stellen Sie sicher, dass Sie als Administrator angemeldet sind." -ForegroundColor Red
  }

• Bereinigungsbefehle:

  # Bereinigungsskript, um die simulierte Persistenz zu entfernen
  $TaskName = "MicrosoftUpdatesupdates11678"
  
  Write-Host "[+] Entfernen der geplanten Aufgabe: $TaskName" -ForegroundColor Cyan
  schtasks /delete /tn "$TaskName" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] Bereinigung erfolgreich." -ForegroundColor Green
  } else {
      Write-Host "[-] Bereinigung fehlgeschlagen. Manuelle Entfernung erforderlich." -ForegroundColor Red
  }