Kelompok spionase siber Asia Selatan yang dikenal sebagai Bitter (juga memiliki sebutan APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17, serta TA397) terpantau menyasar berbagai organisasi di kawasan Asia Selatan memakai trojan akses jarak jauh baru yang dinamakan PapRAT.
"PapRAT memiliki implementasi dalam versi C++ maupun Rust," ungkap peneliti FortiGuard Labs Fortinet, Cara Lin. "Kemampuannya mencakup eksekusi instruksi, pengunggahan dan pengunduhan berkas, penghapusan dokumen, enumerasi direktori serta drive, hingga pengambilan tangkapan layar. Varian Rust menambahkan fitur eksekusi PowerShell beserta perintah lainnya."
Operasi serangan ini terbilang menonjol karena memanfaatkan tiga rantai infeksi yang berbeda –
Metode living-off-the-land (LotL) dirancang guna menjalankan serangkaian instruksi dari peladen jarak jauh ("goodnfortunes[.]com"), memungkinkan aktor ancaman mengumpulkan daftar tugas, informasi direktori Desktop, Documents, dan Downloads, data produk antivirus terpasang, serta unit penyimpanan yang terhubung.
Seluruh hasil pengintaian yang berhasil dikumpulkan tersebut disimpan memakai nama "abc.pdf" lalu dikirimkan kembali ke server pengendali C2 menggunakan perintah curl, sebelum akhirnya dokumen sementara tersebut segera dihapus dari komputer korban.
Varian skrip kedua ditemukan bertugas mengunduh berkas bernama "talk.log" dari "techtalkhelp[.]com." Muatan muatan ini berisi skrip terenkode Base64 untuk memanggil instruksi tambahan dari server yang sama kemudian menjalankannya langsung sebagai perintah PowerShell.
"Model staging ini memberikan fleksibilitas operasional bagi penyerang, di mana berbagai instruksi diperbarui di sisi server tanpa perlu menyebarkan biner baru, sehingga terhindar dari peletakan berkas PE dan injeksi proses yang kerap terdeteksi perangkat pengaman," jelas pihak Fortinet.
Perangkat perusak PapRAT yang disalurkan melalui pemasang berkas MSI pada rantai serangan kedua dirancang khusus untuk kendali jarak jauh. Program jahat ini memfasilitasi delapan instruksi kendali –
Sementara itu, varian berbasis Rust menyematkan tambahan tiga instruksi lanjutan –
Sisi menarik pada rantai serangan ketiga menggabungkan elemen utama dari dua skenario terdahulu, menggunakan skrip untuk mengunduh penginstal MSI melalui perintah curl. Seperti tahapan sebelumnya, penginstal MSI menjadi sarana pembawa PapRAT, yang selanjutnya menyuntikkan WmRAT, yaitu malware lama yang diketahui kerap dipakai kelompok Bitter.
Temuan ini menegaskan bahwa kelompok peretas tersebut terus memperbarui gudang senjata digital mereka guna membangun serta mempertahankan akses ilegal pada sistem target.
"Perkembangan taktik ini menekankan pentingnya mengawasi perilaku mencurigakan pada alat skrip, tugas terjadwal, dan aktivitas installer di samping memindai tanda tangan malware," jelas Fortinet. "Organisasi disarankan mewaspadai kemunculan berkas LNK, pintasan URL, disk image, serta paket MSI, terutama dari pesan yang tidak diharapkan."