Fortinet: קבוצת Bitter מפיצה את PapRAT, דלת אחורית חדשה, נגד ארגונים בדרום אסיה

חוקרי FortiGuard Labs של Fortinet דיווחו על PapRAT, נוזקת גישה מרחוק שלא תועדה קודם, שבה משתמשת קבוצת הריגול Bitter נגד ארגונים בדרום אסיה. לנוזקה גרסאות ב-C++ וב-Rust.

הפרטים

לפי הדיווח, זוהו שלוש שרשראות הדבקה. בראשונה קובץ LNK מנצל את ftp.exe המובנה בווינדוס להרצת סקריפטים וליצירת משימות מתוזמנות שיוצרות קשר עם שרת השליטה. בשנייה, תמונת דיסק VHDX מכילה קובץ LNK שפותח גיליון Excel כפיתיון ובו בזמן מריץ בשקט מתקין MSI. בשלישית, קיצור URL מושך קובץ LNK דרך WebDAV. בסוף השרשרת מותקן PapRAT, שמפיל גם את WmRAT, נוזקה שקושרה בעבר ל-Bitter.

הגרסה הבסיסית תומכת בפקודות כמו מעטפת מרחוק, הרצת קבצים, העלאה והורדה ומחיקה של קבצים, ובצילומי מסך. גרסת ה-Rust מוסיפה הרצת PowerShell וסיום תהליכים. תוצאות הסיור במחשב נשמרות בקובץ בשם abc.pdf, נשלחות החוצה ונמחקות. לפי הדיווח, השרת יכול לשנות את סט הפקודות בלי פריסה מחדש של הקובץ הבינארי. לא פורסם בדיווח כמה ארגונים נפגעו.

נקודות לשים לב

התייחס בחשדנות לקובצי LNK, קיצורי URL, תמונות דיסק ו-MSI שמגיעים בהודעות לא צפויות.
חפש הרצות חריגות של ftp.exe, יצירת משימות מתוזמנות והפעלות של מתקין MSI. חתימות של נוזקות ידועות לא יספיקו כי השרת מעדכן פקודות.
חסום או נטר את הדומיינים goodnfortunes[.]com, techtalkhelp[.]com ו-rivingtonclarks[.]com, ואת משיכת קבצים דרך WebDAV.
חפש קובץ בשם abc.pdf שנוצר ונמחק מהר, וקובץ talk.log.