PapRAT di Bitter colpisce l’Asia meridionale: nuovo trojan Windows stealth tra LNK, MSI e PowerShell

Il gruppo di cyber spionaggio Bitter, noto anche con diverse sigle APT, è stato osservato mentre prende di mira organizzazioni dell’Asia meridionale con un nuovo trojan di accesso remoto chiamato PapRAT. Questa minaccia rientra nelle campagne di attacco mirate che puntano a ottenere controllo persistente sui sistemi Windows e a raccogliere informazioni utili per fasi successive dell’intrusione.

PapRAT si distingue per la presenza di implementazioni sia in C++ sia in Rust, un dettaglio che indica un continuo sviluppo dell’arsenale malware. Le funzionalità principali includono esecuzione di comandi da remoto, upload e download di file, eliminazione di file, enumerazione di directory e dischi, oltre alla cattura di screenshot. La variante Rust amplia ulteriormente le capacità introducendo anche l’esecuzione di comandi PowerShell e ulteriori istruzioni per la gestione della sessione.

Tre catene di infezione e approccio living off the land

La campagna utilizza tre catene di infezione differenti, con un approccio living off the land che sfrutta strumenti legittimi già presenti nel sistema, riducendo la necessità di componenti facilmente individuabili.

• Scenario 1: un file LNK abusa di ftp.exe per eseguire script e creare attività pianificate, mantenendo il contatto con l’infrastruttura di comando e controllo.
• Scenario 2: un’immagine disco VHDX contiene un collegamento LNK che apre un file esca in Excel mentre, in background, avvia un installer MSI che rilascia PapRAT.
• Scenario 3: un file di collegamento URL recupera un LNK via WebDAV e conduce allo stesso tipo di installer MSI.

Ricognizione, esfiltrazione e riduzione delle tracce

Durante la fase di ricognizione, gli attaccanti raccolgono elenchi di directory e task, informazioni sulle cartelle Desktop, Documents e Downloads, dettagli sul prodotto antivirus installato e sui drive montati. I dati vengono salvati localmente, esfiltrati al server C2 tramite curl e poi cancellati per ridurre le tracce.

In alcune varianti è stato osservato anche il recupero di un file talk.log contenente uno script codificato in Base64 che permette di ottenere istruzioni aggiuntive e lanciarle come comandi PowerShell, offrendo flessibilità operativa senza dover distribuire nuovi binari.

Comandi esposti e modularità della compromissione

Il malware espone comandi dedicati per shell remota, listing delle directory, esecuzione di file, enumerazione dei drive, screenshot, upload e download. In una catena di attacco, dopo PapRAT viene distribuito anche WmRAT, collegato a precedenti operazioni attribuite allo stesso attore, segnalando una strategia modulare di compromissione.