Kelompok spionase siber wilayah Asia Selatan yang dikenal dengan nama Bitter (atau APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17, serta TA397) terpantau melancarkan serangan terhadap berbagai lembaga di Asia Selatan menggunakan remote access trojan anyar bernama PapRAT yang belum pernah dilaporkan sebelumnya.
"PapRAT hadir dalam bentuk implementasi C++ serta Rust," ungkap peneliti Fortinet FortiGuard Labs, Cara Lin. "Fungsinya mencakup eksekusi instruksi, pengunggahan serta pengunduhan dokumen, penghapusan file, pencatatan direktori dan kandar drive, hingga pengambilan tangkapan layar. Sementara itu, varian Rust menambahkan kemampuan eksekusi PowerShell serta instruksi lanjutan lainnya."
Kampanye kejahatan digital ini terbilang istimewa lantaran memanfaatkan tiga alur rantai infeksi yang berbeda sama sekali.
Metode pemanfaatan alat bawaan sistem atau living-off-the-land (LotL) dirancang guna menjalankan instruksi jarak jauh dari server eksternal ("goodnfortunes[.]com"). Hal ini memungkinkan malware mengumpulkan daftar proses kerja, susunan direktori, informasi folder Desktop, Dokumen, dan Unduhan, data perangkat lunak antivirus terpasang, hingga kandar penyimpanan yang sedang aktif tersambung.
Kumpulan data hasil pengintaian tersebut kemudian disimpan memakai nama "abc.pdf" lalu dikirimkan kembali ke server pengendali C2 menggunakan perintah curl, sebelum akhirnya file transit tersebut langsung dimusnahkan dari komputer korban.
Versi skrip alternatif lainnya ditemukan mengunduh berkas bernama "talk.log" yang bersumber dari "techtalkhelp[.]com." Muatan muatan berbahaya ini berisi skrip sandi Base64 guna mengambil instruksi lanjutan dari domain yang sama untuk langsung dieksekusi sebagai perintah PowerShell.
"Pendekatan berjenjang ini memberikan fleksibilitas operasional bagi penyerang, di mana setiap instruksi dapat diperbarui langsung dari sisi server tanpa perlu mendistribusikan biner baru. Hal ini ampuh menghindari peletakan file PE maupun injeksi proses yang kerap memicu deteksi sistem keamanan," jelas pihak Fortinet.
Perangkat perusak PapRAT yang disebarkan melalui paket pemasang MSI pada rantai serangan kedua dirancang khusus untuk kendali jarak jauh, dengan dukungan terhadap delapan perintah operasional.
Varian malware berbasis bahasa Rust menyertakan tambahan tiga jenis perintah lainnya ke dalam sistem sasaran.
Aspek penting dari rantai infeksi ketiga yakni menggabungkan teknik-teknik utama dari dua alur sebelumnya, yaitu memakai skrip untuk mengambil penginstal MSI via curl. Serupa tahap sebelumnya, pemasang MSI menjadi jembatan bagi PapRAT, yang kemudian melepas WmRAT, malware lama yang diketahui kerap dipakai kelompok Bitter.
Seluruh temuan membuktikan sang pelaku ancaman konsisten menyempurnakan persenjataan digital mandiri mereka demi mempertahankan akses masuk pada sistem korban.
"Transformasi ini mempertegas betapa pentingnya memantau gelagat mencurigakan pada perkakas skrip, tugas terjadwal, dan aktivitas installer selain hanya memindai tanda malware yang sudah ada," tutur Fortinet. "Instansi wajib mewaspadai dokumen LNK tak dikenal, pintasan URL, image disk, serta berkas MSI mencurigakan, terutama yang masuk melalui pesan tidak resmi."
