Bitter APT grubu Güney Asya'daki hedeflere yeni PapRAT backdoor'u yerleştiriyor; zararlının hem C++ hem Rust sürümü var
FortiGuard Labs, Güney Asya odaklı casusluk grubu Bitter'ın daha önce belgelenmemiş PapRAT adlı uzaktan erişim aracını üç ayrı bulaşma zinciriyle dağıttığını açıkladı. Zincirlerde LNK, VHDX disk imajı, URL kısayolu ve MSI paketleri kullanılıyor.
Güney Asya'daki kurumları hedef aldığı bilinen siber casusluk grubu Bitter (APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 ve TA397 adlarıyla da izleniyor), kampanyalarında daha önce raporlanmamış bir uzaktan erişim aracı kullanıyor. Fortinet FortiGuard Labs'ın bulgularını aktaran The Hacker News'in 9 Kasım tarihli haberine göre zararlıya PapRAT adı verildi.
FortiGuard araştırmacısı Cara Lin'e göre PapRAT'ın hem C++ hem de Rust ile yazılmış iki sürümü bulunuyor. Rust sürümü buna ek olarak PowerShell komutu çalıştırabiliyor.
Üç bulaşma zinciri
Araştırmada üç ayrı giriş yolu tarif ediliyor:
- LNK dosyası: Windows'un yerleşik
ftp.exearacını kötüye kullanarak betik çalıştırıyor ve zamanlanmış görev oluşturuyor. - VHDX disk imajı: İçindeki LNK, kullanıcıya yem olarak bir Excel dosyası açarken arka planda bir MSI paketiyle PapRAT'ı kuruyor.
- URL kısayolu: WebDAV üzerinden bir LNK çekiyor; bu da yine MSI paketine ve kuruluma götürüyor. Bu zincirde Bitter'ın daha önce kullandığı WmRAT da sisteme bırakılıyor.
Keşif aşamasında toplanan bilgiler "abc.pdf" adıyla kaydedilip curl ile dışarı gönderiliyor. PapRAT'ın C++ sürümü uzak kabuk, dosya listeleme ve silme, program çalıştırma, ekran görüntüsü alma, dosya yükleme ve indirme komutlarını destekliyor; Rust sürümü bunlara bekleme ve oturumu kapatma gibi komutlar ekliyor.
Göstergeler
Haberde paylaşılan alan adları (etkisizleştirilmiş biçimde): goodnfortunes[.]com (keşif verisinin gönderildiği adres), techtalkhelp[.]com (ikinci aşama betiğin çekildiği adres) ve rivingtonclarks[.]com (dosya yükleme hedefi). Haberde dosya hash'i veya IP adresi yer almıyor; ayrıntılı IOC listesi için FortiGuard Labs'ın kendi raporuna bakılmalı.
Ne yapılmalı?
- E-posta ve mesajlaşma ile gelen beklenmedik LNK, URL kısayolu, VHDX/ISO disk imajı ve MSI dosyalarına karşı dikkatli olun; FortiGuard'ın önerisi de özellikle istenmeden gönderilen bu tür dosyaların şüpheyle karşılanması yönünde.
- Yukarıdaki alan adlarını DNS, proxy ve firewall loglarında geriye dönük arayın.
- EDR'da
ftp.exeile betik çalıştırma, kullanıcı dizininden başlatılan MSI kurulumları ve beklenmedik zamanlanmış görev oluşturma davranışları için uyarı tanımlı olup olmadığını kontrol edin. - İnternete WebDAV üzerinden giden bağlantıların kurum politikasında gerçekten gerekli olup olmadığını değerlendirin; değişiklikleri change management süreciyle yapın.
- Güney Asya'da iş yapan ya da bölgedeki kurumlarla yazışan kuruluşlar, yem dosyası kullanan hedefli phishing senaryosunu farkındalık eğitimine ekleyebilir.
