BITTER розширює свій арсенал шкідливих програм за допомогою PapRAT

Резюме

Південноазійська кібер-шпигунська група BITTER проводить кампанії з використанням спеціальних троянів віддаленого доступу (RAT), відомих як PapRAT та WmRAT. Атаки спираються на декілька ланцюжків інфекції, що включають файли LNK, образи VHDX і MSI-інсталятори для встановлення стійкості та виконання команд. Шкідливе ПЗ також еволюціонувало від реалізацій на C++ до більш потужних варіантів на основі Rust.

Розслідування

Лабораторії FortiGuard проаналізували три різні ланцюжки атак, спрямовані на організації по всій Південній Азії. Розслідування виявило зловживання тактерами такими програмами, як ftp.exe і curl, поряд з різними техніками постановки, розробленими для уникнення засобів безпеки. Аналіз шкідливого ПЗ також показав кодування конфігурацій C2 за допомогою XOR і перехід від C++ впроваджень до нових варіантів шкідливого ПО на базі Rust.

Пом’якшення

Організації повинні бути обережні при обробці небажаних LNK файлів, URL-скорочень, образів дисків та MSI пакетів. Команди з безпеки повинні здійснювати контроль для виявлення підозрілих ланцюжків виконання, створення запланованих завдань та незвичного вихідного C2 трафіку. Навчання користувачів, зосереджене на фішингових приманках та шкідливих вкладеннях, також є важливим.

Відповідь

Коли виявлено зловмисну активність, ізолюйте скомпрометовані вузли, щоб запобігти латеральному переміщенню і подальшому виконанню команд. Перегляньте заплановані завдання та журнали встановлення MSI на наявність несанкціонованих змін. Проведіть судову аналізу стійких артефактів, таких як err.log or talk.log, і перевірте вихідний мережевий трафік на наявність з’єднань із виявленими або підозрілими C2 доменами.

Виконання симуляції

• Опис атаки та команди: Зловмисник прагне встановити стійкість на машині жертви, щоб його шкідливе навантаження виконувалось кожні 30 хвилин, що дозволяє підтримувати безперервне з’єднання з інфраструктурою Command and Control (C2). Щоб злитися з законною системною активністю та уникнути простого виявлення за підписами, зловмисник використовує рідну програму Windows schtasks.exe утиліта. Вони обирають обманливу назву завдання, MicrosoftUpdatesupdates11678, що імітує законну службу оновлення Windows, щоб сховатися в очевидному в межах бібліотеки планувальника завдань.

• Скрипт регресійного тестування:

  # Скрипт симуляції для ініціювання специфічного правила виявлення
  # Цей скрипт імітує механізм стійкості групи BITTER.
  
  $TaskName = "MicrosoftUpdatesupdates11678"
  $Command = "cmd.exe /c echo 'C2 Beaconing Simulation'"
  
  Write-Host "[+] Спроба створити заплановане завдання: $TaskName" -ForegroundColor Cyan
  
  # Виконайте команду, яка точно відповідає логіці виявлення
  # Логіка шукає: schtasks.exe + /create + /sc minute + /mo 30 + task name
  schtasks /create /sc minute /mo 30 /tn "$TaskName" /tr "$Command" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] УСПІХ: Заплановане завдання створено. Перевірте SIEM для оповіщення." -ForegroundColor Green
  } else {
      Write-Host "[-] ПОМИЛКА: Не вдалося створити завдання. Переконайтеся, що ви працюєте як адміністратор." -ForegroundColor Red
  }

• Команди очищення:

  # Скрипт очищення для видалення імітованої стійкості
  $TaskName = "MicrosoftUpdatesupdates11678"
  
  Write-Host "[+] Видалення запланованого завдання: $TaskName" -ForegroundColor Cyan
  schtasks /delete /tn "$TaskName" /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[!] Очищення успішно." -ForegroundColor Green
  } else {
      Write-Host "[-] Очищення не вдалося. Потрібне ручне видалення." -ForegroundColor Red
  }