O grupo de espionagem cibernética sul-asiático conhecido como Bitter, também chamado de APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 e TA397, foi observado atacando organizações da região com um trojan de acesso remoto até então desconhecido, chamado PapRAT.
“O PapRAT tem versões desenvolvidas em C++ e Rust”, afirmou Cara Lin, pesquisadora do Fortinet FortiGuard Labs. “Entre seus recursos estão a execução de comandos, o envio e o download de arquivos, a exclusão de arquivos, a listagem de diretórios e unidades e a captura de telas. A versão em Rust também executa comandos do PowerShell e outras instruções.”
A campanha chama a atenção por usar três cadeias de infecção diferentes:
- Um arquivo de atalho do Windows (LNK) utiliza indevidamente o utilitário nativo “ftp.exe” para executar scripts e criar tarefas agendadas. O objetivo é manter contato com um servidor de comando e controle (C2).
- Uma imagem de disco VHDX contém um arquivo LNK que abre uma planilha-isca do Microsoft Excel e, em segundo plano, executa um instalador MSI para instalar o PapRAT.
- Um atalho de URL baixa um arquivo LNK por WebDAV. Esse arquivo leva a um instalador MSI que instala o PapRAT.
A técnica de usar ferramentas legítimas do sistema, conhecida como LotL, permite executar comandos recebidos do servidor remoto “goodnfortunes[.]com”. Com isso, o malware coleta listas de diretórios e tarefas, informações sobre as pastas Área de Trabalho, Documentos e Downloads, dados de produtos antivírus instalados e informações sobre unidades conectadas.
As informações coletadas são salvas como “abc.pdf” e enviadas ao servidor C2 por meio da ferramenta curl. Em seguida, o arquivo temporário é apagado do dispositivo.
Uma segunda versão do script também foi identificada. Ela obtém o arquivo “talk.log” de “techtalkhelp[.]com”. A carga útil contém um script codificado em Base64, que busca instruções adicionais no mesmo servidor e as executa como comandos do PowerShell.
“Esse modelo de execução dá flexibilidade operacional ao invasor. Os comandos podem ser atualizados no servidor sem que seja necessário distribuir um novo arquivo binário, evitando a gravação de arquivos PE e a injeção de processos, técnicas que alguns produtos de segurança poderiam detectar com facilidade”, afirmou a Fortinet.
O malware PapRAT distribuído pelo instalador MSI na segunda cadeia de ataque foi desenvolvido para permitir o controle remoto. Ele aceita oito comandos:
- MSG, para abrir um terminal remoto
- FDD, para listar diretórios
- DEL, para excluir arquivos
- RUN, para executar arquivos arbitrários
- GDR, para listar unidades
- SS1, para capturar a tela
- UPP, para enviar arquivos locais ao servidor C2 “rivingtonclarks[.]com”
- DWW, para baixar arquivos do servidor C2
Uma versão do malware desenvolvida em Rust inclui mais três comandos:
- MS2, para executar comandos do PowerShell
- SLP, para aguardar e retomar a consulta ao servidor
- BYE, para encerrar o processo
Um aspecto relevante da terceira cadeia de ataque é a combinação de elementos das duas primeiras. Um script baixa um instalador MSI com o curl. Como nas outras cadeias, o instalador MSI distribui o PapRAT, que depois instala o WmRAT, malware já associado ao grupo Bitter.
As descobertas indicam que o grupo continua aprimorando seu conjunto de ferramentas personalizadas para obter e manter acesso aos sistemas visados.
“Essas mudanças reforçam a importância de monitorar comportamentos maliciosos em ferramentas de script, tarefas agendadas e atividades de instaladores, além de detectar assinaturas de malware conhecidas”, afirmou a Fortinet. “As organizações devem tratar com cautela arquivos LNK, atalhos de URL, imagens de disco e pacotes MSI inesperados, especialmente quando recebidos por mensagens não solicitadas.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...