Bitter Casusluk Kampanyası: Yeni PapRAT Backdoor'u Açıklaması

Güney Asya siber casusluk grubu Bitter (APT-C-08, Hazy Tiger, Orange Yali, TA397), Güney Asya'daki kuruluşları daha önce raporlanmamış bir uzak erişim trojanı olan PapRAT ile hedef alıyor.

PapRAT'ın hem C++ hem Rust sürümleri var: komut çalıştırma, dosya yükleme/indirime, silme, klasör ve sürücü numaralandırma ve ekran görüntüsü. Rust sürümü PowerShell çalıştırma ve diğer komutları ekler.

Üç Enfeksiyon Zinciri

Kampanya, üç yem yolunu aynı implantta birleştirir:

1. Windows Shortcut (LNK) dosyası, yerel ftp.exe aracını istismar ederek script çalıştırır ve C2'ye telefon eden zamanlanmış görevler kurar.
2. VHDX disk imajı, yem bir Excel tablosu açarken arkada MSI kurulumcusu PapRAT'ı dağıtan LNK dosyası içerir.
3. URL kısayolu (URL) dosyası, WebDAV üzerinden bir LNK çekerek MSI kurulumuna gider — bir zincirde bundan sonra daha önce tanımlanmış Bitter malware'i WmRAT bırakır.

Üç zincir de living-off-the-land aşamalaması kullanır: goodnfortunes[.]com adresi; klasör/görev listeleri, Masaüstü/Belgeler/İndirilenler durumu, kurulu antivirüs verileri ve bağlı sürücüleri toplar. Keşif çıktısı abc.pdf olarak kaydedilip curl ile dışarı aktarılır, sonra silinir. İkinci script techtalkhelp[.]com adresinden talk.log çekip Base64 PowerShell yükü çözer ve çalıştırır.

PapRAT Komutları

MSI ile dağıtılan implant sekiz komutu destekler: MSG (uzak kabuk), FDD (dizin listeleme), DEL (silme), RUN (dosya çalıştırma), GDR (sürücü numaralandırma), SS1 (ekran görüntüsü), UPP (C2'ye yükleme — rivingtonclarks[.]com) ve DWW (indirme). Rust sürümü MS2 (PowerShell), SLP (uyku/an yoklama) ve BYE (sonlandırma) komutlarını ekler.

Operasyonel esneklik asıl amaçtır: komutlar yeni binary gerekmeden sunucu tarafında güncellenir — güvenlik cihazlarının yakalayabileceği PE bırakma ve süreç enjeksiyonundan kaçınılmış olur.

Savunucuların İzlemesi Gerekenler

Fortinet'in önerisi, bilinen malware imzalarının yanında script araçlarını, zamanlanmış görevleri ve kurulumcu aktivitesini izlemektir. Özellikle:

• LNK dosyaları, URL kısayolları, disk imajları ve MSI paketleri — özellikle istenmeyen mesajlarla geldiyse — kuşkuyla karşılayın.
• C2 domain'lerini arayın: goodnfortunes[.]com, techtalkhelp[.]com, rivingtonclarks[.]com.
• ftp.exe'nin script başlatmasını, curl ile abc.pdf aktarımını ve LNK çalışmasından sonra yeni zamanlanmış görev oluşumunu avlayın.

Savunmacı Olarak İlk 7 Gün

Birinci gün: ftp.exe veya curl.exe ile biten LNK/URL çalıştırma zincirlerini proxy ve EDR telemetrisinde arayın; üç C2 domainini DNS ve akış log'larında avlayın. İkinci gün: ftp.exe üst süreciyle eşleşen zamanlanmış görev oluşturma olaylarını gözden geçirin — zamanlanmış görev kalıcılık kancasıdır. Üçüncü gün: Üç domaini DNS katmanında engelleyip sinkhole edin; ardından bu adreslere ulaşan host'ları geriye dönüp indirme ve PowerShell payload'ları için avlayın. Dördüncü gün: Son 90 günde bilinmeyen posta adreslerinden gelen MSI kurulumlarını ve VHDX mount'larını envanterleyin. Beşinci-yedinci gün: PapRAT komut kümesini algılama mühendisliğinizle yürüyün — MSG, RUN ve MS2'nin her biri bir EDR sinyali vermelidir. Onaylanan her makine, yeniden kurulana kadar tamamen ele geçirilmiş sayılır.

Yükselen Trendlere Karşı Kapanış

Bu kampanya, modern casusluk malware'inin iki davranışını birleştirir: ülkede yerel kalırken uzak kalıcılık araçlarıyla kalıcı erişim kurmak ve komutları server-side güncelleyerek iz bırakmamak. PapRAT'ın Rust varyantı, PowerShell komutlarını ekleyerek Grup politikası ve günlük operasyonlar için yeni bir araç sunar. MSSP'ler için çıkarıcı ders, script araçlarını yalnızca anti-virüs katmanında aramamaktır; görev zamanlayıcılar, LNK yürütmeleri ve zamanlanmış görevler ile installer aktivitesi tek başına yeterli bir algılama yüklü oluşturur.

Kaynaklar

• The Hacker News haberi
• Fortinet FortiGuard Labs analizi