BITTER Espande il Suo Arsenale di Malware con PapRAT

Sommario

Il gruppo cyber-spionaggio del Sud Asia BITTER sta conducendo campagne utilizzando trojan di accesso remoto personalizzati (RAT) noti come PapRAT e WmRAT. Gli attacchi si basano su più catene di infezione comprendenti file LNK, immagini VHDX e installer MSI per stabilire persistenza ed eseguire comandi. Il malware si è anche evoluto dalle implementazioni in C++ a varianti più capaci basate su Rust.

Indagine

I FortiGuard Labs hanno analizzato tre catene di attacco distinte mirate a organizzazioni in tutta l’Asia meridionale. L’indagine ha identificato l’abuso di LOLBins come ftp.exe e curl, insieme a diverse tecniche di staging progettate per eludere i controlli di sicurezza. L’analisi del malware ha inoltre rivelato configurazioni C2 codificate XOR e un passaggio dagli impianti C++ verso malware più recenti basati su Rust.

Mitigazione

Le organizzazioni dovrebbero essere caute nel gestire file LNK indesiderati, collegamenti URL, immagini disco e pacchetti MSI. I team di sicurezza dovrebbero implementare controlli per rilevare catene di esecuzione sospette, creazione di attività pianificate e traffico C2 in uscita insolito. Anche la formazione degli utenti sulla consapevolezza delle esche phishing e degli allegati dannosi è essenziale.

Risposta

Quando viene rilevata attività dannosa, isolare gli host compromessi per prevenire il movimento laterale e ulteriori esecuzioni di comandi. Verificare le attività pianificate e i registri di installazione MSI per eventuali modifiche non autorizzate. Condurre un’analisi forense degli artefatti persistenti come err.log or talk.log, e ispezionare il traffico di rete in uscita per connessioni a domini C2 identificati o sospetti.

Esecuzione di Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario mira a stabilire persistenza sulla macchina della vittima per garantire che il loro payload malevolo venga eseguito ogni 30 minuti, facilitando una connessione continua alla loro infrastruttura di Comando e Controllo (C2). Per mimetizzarsi con l’attività legittima del sistema ed evitare semplici rilevamenti basati su firme, l’attaccante utilizza l’utility nativa di Windows schtasks.exe utility. Scelgono un nome di attività ingannevole, MicrosoftUpdatesupdates11678, imitando un servizio di aggiornamento di Windows legittimo per nascondersi in bella vista all’interno della libreria del Task Scheduler.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola di rilevamento specifica
  # Questo script imita il meccanismo di persistenza del gruppo BITTER.
  
  $TaskName = "MicrosoftUpdatesupdates11678"
  $Command = "cmd.exe /c echo 'Simulazione C2 Beaconing'"
  
  Write-Host "[+] Tentativo di creare attività pianificata: $TaskName" -ForegroundColor Cyan
  
  # Eseguire il comando che corrisponde esattamente alla logica di rilevamento
  # La logica cerca: schtasks.exe + /create + /sc minute + /mo 30 + nome dell'attività
  echtasks /create /sc minute /mo 30 /tn "$TaskName" /tr "$Command" /f
  
  se ($LASTEXITCODE -eq 0) {
      Write-Host "[!] SUCCESSO: Attività pianificata creata. Verifica avviso SIEM." -ForegroundColor Green
  } altro {
      Write-Host "[-] FALLIMENTO: Impossibile creare attività. Assicurati di eseguire come Amministratore." -ForegroundColor Red
  }
  

• Comandi di Cleanup:

  # Script di pulizia per rimuovere la persistenza simulata
  $TaskName = "MicrosoftUpdatesupdates11678"
  
  Write-Host "[+] Rimozione attività pianificata: $TaskName" -ForegroundColor Cyan
  schtasks /delete /tn "$TaskName" /f
  
  se ($LASTEXITCODE -eq 0) {
      Write-Host "[!] Pulizia riuscita." -ForegroundColor Green
  } altro {
      Write-Host "[-] Pulizia fallita. Rimozione manuale richiesta." -ForegroundColor Red
  }