گروه جاسوسی سایبری احتمالی در جنوب آسیا که با نام Bitter (یا TA397) شناخته می‌شود، در حال استفاده از ابزارهای بومی ویندوز در کنار یک تروجان دسترسی از راه دور (RAT) سفارشی به نام PapRAT برای حفظ دسترسی به سازمان‌های هدف است.
تحقیقات FortiGuard Labs نشان می‌دهد که این گروه با استفاده از فایل‌های فریبنده (Lure) مانند درخواست‌های ملاقات رسمی و دعوت‌نامه‌های اجلاس‌های بین‌المللی، سازمان‌هایی را در جنوب آسیا، جنوب شرق آسیا و کره جنوبی هدف قرار داده است.
زنجیره‌های سرایت و تکنیک‌های Living-off-the-land
این حملات از سه زنجیره سرایت (Infection Chain) مختلف استفاده می‌کنند که یکی از آن‌ها بدون استفاده از هیچ فایل مخرب (Malware Binary) انجام می‌شود:
- استفاده از ابزارهای بومی: در این روش، مهاجم از یک فایل میان‌بر ویندوز (LNK) برای سوءاستفاده از ابزار داخلی ftp.exe جهت اجرای اسکریپت‌ها و ایجاد وظایف زمان‌بندی شده (Scheduled Tasks) استفاده می‌کند. سپس با استفاده از curl، دستورات جدید را از سرورهای مهاجم دریافت می‌کند.
- بسته‌های نصب ویندوز (MSI): در دو زنجیره دیگر، تروجان PapRAT از طریق بسته‌های MSI توزیع می‌شود؛ یکی در قالب یک تصویر دیسک مجازی (VHDX) و دیگری از طریق یک میان‌بر اینترنتی در آرشیو RAR.
- استفاده از WmRAT: در زنجیره سوم، PapRAT تروجان دیگری به نام WmRAT را دانلود می‌کند که این موضوع نشان‌دهنده پیوستگی عملیات این گروه است.
تحلیل فنی PapRAT
تروجان PapRAT در دو نسخه C++ و Rust مشاهده شده است. نسخه C++ از پروتکل HTTP استفاده کرده و قابلیت‌هایی نظیر دسترسی به Remote Shell، انتقال فایل و تهیه اسکرین‌شات را دارد. نسخه جدیدتر که با زبان Rust نوشته شده، از پروتکل HTTPS پشتیبانی کرده و قابلیت‌های بیشتری از جمله اجرای PowerShell را به مجموعه دستورات خود اضافه کرده است.
کارشناسان امنیتی تأکید می‌کنند که به دلیل استفاده از فرآیندهای مورد اعتماد سیستم، کنترل‌های مبتنی بر امضا (Signature-based controls) ممکن است در شناسایی این حملات ناتوان باشند. لذا توصیه می‌شود اصل حداقل دسترسی (Least-privilege) و محدودسازی موتورهای اسکریپت‌نویسی بومی به دقت اجرا شود.
