Bitter Grubu, Güney Asya’daki Siber Casusluk Kampanyasında Yeni PapRAT Arka Kapısını Kullanıyor

Bitter Grubu, Güney Asya’daki Siber Casusluk Kampanyasında Yeni PapRAT Arka Kapısını Kullanıyor

APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 ve TA397 olarak da bilinen Güney Asyalı siber casusluk grubu Bitter, daha önce rapor edilmemiş PapRAT adlı uzaktan erişim trojanını kullanarak Güney Asya’daki kuruluşları hedef alıyor.

Fortinet FortiGuard Labs araştırmacısı Cara Lin, “PapRAT hem C++ hem de Rust uygulamalarına sahip” dedi. Lin, “Yetkinlikleri arasında komut yürütme, dosya yükleme ve indirme, dosya silme, dizin ve sürücü numaralandırma ve ekran görüntüsü alma bulunuyor. Rust varyantı PowerShell yürütme ve diğer komutları da ekliyor” diye ekledi.

Üç Farklı Enfeksiyon Zinciri

Bu kampanya, üç farklı enfeksiyon zinciri kullanmasıyla dikkat çekiyor:

• Yerel “ftp.exe” yardımcı programını kötüye kullanarak komut dosyaları çalıştırmak ve komuta-kontrol (C2) sunucusuyla iletişimi sürdürmek için zamanlanmış görevler oluşturan bir Windows Kısayol (LNK) dosyası.
• Bir LNK dosyası içeren bir VHDX disk görüntüsü. Bu dosya, bir yem Microsoft Excel elektronik tablosunu başlatırken, arka planda PapRAT’ı dağıtmak için bir MSI yükleyicisi çalıştırıyor.
• WebDAV aracılığıyla bir LNK dosyası getiren bir URL kısayol (URL) dosyası. Bu da PapRAT’ı dağıtan bir MSI yükleyicisine yol açıyor.

“Living-off-the-land” Yaklaşımı

“Living-off-the-land” (LotL) yaklaşımı, uzak bir sunucudan (“goodnfortunes[.]com”) komutları yürütmek üzere tasarlanmıştır. Bu sayede dizin ve görev listeleri, Masaüstü, Belgeler ve İndirilenler’den dizin bilgileri, yüklü antivirüs ürün verileri ve bağlı sürücüler gibi bilgiler toplanabilir.

Toplanan keşif bilgileri “abc.pdf” olarak kaydedilir ve bir curl komutu aracılığıyla C2 sunucusuna geri sızdırılır. Ardından hazırlanan dosya ana bilgisayardan silinir.

Komut dosyasının ikinci bir sürümünün, “techtalkhelp[.]com” adresinden “talk.log” adlı bir dosya aldığı tespit edildi. Yük, aynı sunucudan ek talimatlar almak ve bunları PowerShell komutları olarak yürütmek için Base64 kodlu bir komut dosyası içeriyor.

Fortinet, “Bu hazırlık modeli, saldırgana operasyonel esneklik sağlarken, komutlar yeni bir ikili dosya itilmeden sunucu tarafında güncelleniyor ve bazı güvenlik cihazlarının kolayca tespit edebileceği PE düşüşlerini ve süreç enjeksiyonunu önlüyor” açıklamasını yaptı.

PapRAT Kötü Amaçlı Yazılımı

İkinci saldırı zincirinde MSI yükleyicisi aracılığıyla dağıtılan PapRAT kötü amaçlı yazılımı, uzaktan kontrol için tasarlanmıştır. Sekiz komutu destekler:

• MSG, uzaktan kabuk için
• FDD, dizin listeleme için
• DEL, dosya silme için
• RUN, rastgele dosya yürütme için
• GDR, sürücü numaralandırma için
• SS1, ekran görüntüsü alma için
• UPP, yerel dosyaları C2 sunucusuna (“rivingtonclarks[.]com”) yüklemek için
• DWW, C2 sunucusundan dosya indirmek için

Kötü amaçlı yazılımın Rust sürümü üç ek komut içerir:

• MS2, PowerShell komut yürütme için
• SLP, uyku ve yoklama devamı için
• BYE, süreç sonlandırma için

Üçüncü Saldırı Zinciri ve WmRAT

Üçüncü saldırı zincirinin dikkat çekici bir yönü, ilk iki dizinin belirgin yönlerini birleştirerek bir komut dosyasını kullanarak bir MSI yükleyicisini curl aracılığıyla indirmesidir. Daha önce olduğu gibi, MSI yükleyicisi PapRAT için bir kanal görevi görür ve ardından Bitter tarafından daha önce kullanıldığı tespit edilen WmRAT kötü amaçlı yazılımını bırakır.

Bulgular, tehdit aktörünün hedef sistemlere erişim sağlamak ve sürdürmek için özel araçlarını geliştirmeye devam ettiğini gösteriyor.

Fortinet, “Bu değişiklikler, bilinen kötü amaçlı yazılım imzalarını tespit etmenin yanı sıra komut dosyası araçları, zamanlanmış görevler ve yükleyici etkinliği genelinde kötü amaçlı davranışları izlemenin önemini vurguluyor” dedi. “Kuruluşlar, özellikle istenmeyen mesajlar aracılığıyla teslim edilen beklenmedik LNK dosyalarına, URL kısayollarına, disk görüntülerine ve MSI paketlerine dikkatle yaklaşmalıdır.”