Kelompok spionase siber wilayah Asia Selatan bernama Bitter (juga dikenal sebagai APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17, dan TA397) terpantau menyasar berbagai organisasi di Asia Selatan menggunakan trojan akses jarak jauh baru yang belum pernah dilaporkan, yakni PapRAT.
"PapRAT memiliki implementasi berbasis C++ maupun Rust," ungkap peneliti Fortinet FortiGuard Labs, Cara Lin. "Kemampuannya mencakup eksekusi perintah, pengunggahan serta pengunduhan berkas, penghapusan data, pencacahan direktori dan drive, hingga pengambilan tangkapan layar. Varian Rust menambahkan eksekusi PowerShell beserta instruksi lainnya."
Kampanye berbahaya ini menarik perhatian karena memanfaatkan tiga rantai infeksi yang berbeda satu sama lain –
Pendekatan living-off-the-land (LotL) dirancang guna menjalankan serangkaian perintah dari peladen jarak jauh ("goodnfortunes[.]com"). Langkah tersebut memungkinkannya mengumpulkan daftar direktori serta tugas, rincian direktori Desktop, Documents, dan Downloads, data produk antivirus terpasang, hingga informasi drive yang terhubung.
Data pengintaian yang berhasil dikumpulkan disimpan dengan nama "abc.pdf" lalu dikirim kembali menuju server C2 memakai perintah curl, sebelum akhirnya berkas penampung tersebut dihapus dari sistem target.
Versi skrip kedua terpantau mengambil berkas bernama "talk.log" dari "techtalkhelp[.]com". Muatan ini berisi skrip terenkripsi Base64 untuk menarik instruksi tambahan dari server yang sama kemudian mengeksekusinya berupa perintah PowerShell.
"Model staging ini memberikan fleksibilitas operasional bagi penyerang, di mana perintah diperbarui langsung dari sisi server tanpa perlu meluncurkan biner baru, sehingga menghindari penurunan PE dan injeksi proses yang mudah dideteksi perangkat keamanan," jelas pihak Fortinet.
Malware PapRAT yang disalurkan melalui penginstal MSI pada rantai serangan kedua sengaja dirancang untuk kendali jarak jauh. Program jahat ini mendukung delapan perintah operasional –
Varian malware berbasis Rust menyertakan tambahan tiga perintah operasional baru –
Hal penting dari skema serangan ketiga adalah penggabungan aspek utama dari dua alur sebelumnya, yaitu memakai skrip guna mengunduh installer MSI via curl. Serupa sebelumnya, paket MSI bertindak selaku perantara bagi PapRAT, yang lantas bertugas menyebarkan WmRAT, jenis malware yang telah lama diidentifikasi dipakai oleh Bitter.
Temuan ini menegaskan bahwa kelompok ancaman terus memodifikasi persenjataan khususnya demi membangun dan mempertahankan akses jangka panjang pada sistem target.
"Perubahan taktik tersebut menggarisbawahi perlunya pengawasan perilaku mencurigakan pada perangkat skrip, tugas terjadwal, dan aktivitas installer di samping pendeteksian tanda malware yang sudah dikenal," sebut Fortinet. "Organisasi harus mewaspadai berkas LNK, pintasan URL, image disk, serta paket MSI tak terduga, terutama bila diterima lewat pesan tanpa izin."
