Bitter grubunun PapRAT arka kapısı South Asya hedef alıyor

South Asya'da faaliyet gösteren ve Bitter adıyla bilinen siber casusluk grubu, daha önce rapor edilmemiş yeni bir uzaktan erişim truva atı olan PapRAT kullanımıyla dikkat çekti. Fortinet FortiGuard Labs araştırmacısı Cara Lin'in açıklamasına göre bu truva atı hem C++ hem de Rust dilinde geliştirildi.
PapRAT'ın yetkinlikleri arasında komut çalıştırma, dosya yükleme ve indirme, dosya silme, dizin ve sürücü listeleme ile ekran görüntüsü alma yer alıyor. Rust versiyonuna ek olarak PowerShell komutu çalıştırma ve başka komutlar da dahil edildi.

Yayılma zincirleri ve LotL taktikleri​

Bu kampanya, üç farklı bulaşma zinciri kullanmasıyla öne çıkıyor. Birinci zincirde, Windows Kısayolu (LNK) dosyası, yerel "ftp.exe" aracı kötüye kullanılarak betik çalıştırma ve zamanlanmış görev oluşturma işlemleri için kullanılıyor; bu görevler komut ve kontrol (C2) sunucusuyla iletişimi sürdürmek amacıyla tasarlandı.
İkinci zincirde, LNK dosyası içeren bir VHDX disk imajı, hedefi çekmek için Microsoft Excel kuyruk bir çalışma kitabını başlatırken arka planda PapRAT'ı dağıtmak için bir MSI kurulum paketini çalıştırıyor.
Üçüncü zincirde ise bir URL kısayolu dosyası, WebDAV üzerinden LNK dosyasını çektikten sonra PapRAT'ı dağıtan bir MSI kurulumuna geçiyor. Bu kurulum, daha önce Bitter tarafından kullanıldığı tespit edilen WmRAT truva atını da serbest bırakıyor.
Atak, yaşam-alanında kal (LotL) yöntimini kullanarak komutların "goodnfortunes[.]com" gibi uzak sunuculardan yürütülmesini sağlıyor. Toplanan keşif verileri — dizin ve görev listeleri, Masaüstü, Belgeler ve İndirilenler klasörlerindeki bilgileri, kurulu antivirüs ürün verileri ve bağlanmış sürücüler — "abc.pdf" olarak kaydedilip curl komutuyla C2 sunucusuna çıkarılıyor. Daha sonra bu aşamalı dosya, host makineden siliniyor. İkinci betik sürümünün "techtalkhelp[.]com" adresinden "talk.log" dosyasını çektiği de gözlemlendi.

Komut seti ve istihbarat verisi çıkarımı​

İkinci bulaşma zinciri üzerinden dağıtılan PapRAT, uzaktan kontrol için tasarlandı ve şu komutları destekliyor: MSG (uzaktan kabuk erişimi), FDD (dizin listesi), DEL (dosya silme), RUN (keyfi dosya çalıştırma), GDR (sürücü listeleme), SS1 (ekran görüntüsü alma), UPP (C2 sunucusuna dosya yükleme) ve DWW (C2 sunucusundan dosya indirme).
Rust sürümüne eklenen üç komut ise MS2 (PowerShell komut çalıştırma), SLP (uyanma ve sorgu yeniden başlatma) ve BYE (süreç sonlandırma) olarak belirtildi. Fortinet, bu istihbarat modeli sayesinde saldırganın güncel komutları sunucu tarafında işleyerek yeni bir ikili dosya dağıtmaktan kaçınabildiğini; böylece bazı güvenlik cihazlarının kolayca tespit edebileceği PE düşürme veya süreç enjeksiyonlarından kaçınıldığını açıkladı.

Örgütlerin uyarı alanı​

Fortinet, bulguların tehdit aktörünün erişimi tesis ve sürdürebilmek için özel arсенalini sürekli olarak güncellediğine işaret etti. Şirket, bilinen zararlı yazılım imzalarını yakalamakla birlikte betik araçları, zamanlanmış görevler ve kurulum etkinliği boyunca kötü amaçlı davranışın izlenmesinin önemini vurguladı. Kurumların özellikle taleple getirilen LNK dosyaları, URL kısayolları, disk imajları ve MSI paketleri gibi beklenmeyen dosyaları dikkatle değerlendirmesi gerektiği vurgulandı.

Sıkça Sorulan Sorular​

PapRAT hangi dillerde geliştirildi?​

PapRAT, kaynak metinde belirtildiği üzere hem C++ hem de Rust programlama dillerinde geliştirilmiştir. Rust sürümü ayrıca PowerShell komutu çalıştırma ve başka ek komutlar içerir.

Grubun bu kampanyada kullandığı bulaşma zincirleri nelerdir?​

Bulaşma zincirleri şunlardır: ftp.exe kötüye kullanımını içeren Windows Kısayolu (LNK) dosyaları; LNK dosyası içeren VHDX disk imajlarıyla Excel kuyruk çalışma kitabı kullanımı ve MSI kurulumu; ve WebDAV üzerinden LNK dosyası çeken URL kısayolları, ardından MSI kurulumları.

PapRAT ile desteklenen komutlar nelerdir?​

C++ sürümde MSG, FDD, DEL, RUN, GDR, SS1, UPP ve DWW komutları mevcuttur. Rust sürümüne ise MS2 (PowerShell), SLP (uyanma) ve BYE (süreç sonlandırma) eklenmiştir.

Bitter grubu hangi bölge ve türdeki hedefleri seçiyor?​

Bitter grubu, kaynak metinde belirtildiği üzere South Asya'da yerleşik kurumlardan hedef alıyor.

Fortinet'in kurumlar için önerisi nedir?​

Fortinet, kurumların özellikle taleple getirilen LNK dosyaları, URL kısayolları, disk imajları ve MSI paketleri gibi beklenmeyen dosyalara dikkat etmelerini; bunun yanında betik araçları, zamanlanmış görevler ve kurulum etkinliklerinde kötü amaçlı davranışları izlemelerini tavsiye etmiştir.