Bitter-Gruppe greift Ziele in Südasien mit neuem Rust-Trojaner PapRAT an

PapRAT gibt den Angreifern weitreichende Kontrolle über befallene Windows-Rechner: Laut FortiGuard Labs kann die Schadsoftware Befehle ausführen, Dateien manipulieren, Bildschirmfotos anfertigen und weitere Schadkomponenten nachladen. „Diese Kampagne zeigt, wie Bitter native Windows-Werkzeuge mit eigener Schadsoftware kombiniert, um Zugang zu Zielsystemen herzustellen und aufrechtzuerhalten", schrieb Cara Lin, Bedrohungsforscherin bei FortiGuard Labs.

Bitter zählt zu mehreren Gruppen, die mit Indien in Verbindung gebracht werden, ist seit mindestens 2013 aktiv und hat sich bislang vor allem auf Behörden sowie Organisationen aus den Bereichen Energie und Ingenieurwesen konzentriert. Typisch sind maßgeschneiderte Kampagnen, mit denen die Gruppe dauerhaften Zugang zu Opfernetzwerken erlangt, Informationen sammelt und kompromittierte Systeme fernsteuert.

Von C++ zu Rust: PapRAT wurde kürzlich von einer C++-Codebasis auf Rust umgestellt und dabei funktional erweitert — von acht auf elf Befehle. Neu hinzugekommen sind unter anderem die Ausführung von PowerShell, eine Schlafanweisung sowie ein Befehl zum sauberen Beenden. „Die C++- und die Rust-Umsetzung von PapRAT belegen, dass Bitter weiter in sein Werkzeugarsenal investiert", so Lin. Angreifer greifen zunehmend auf Rust für die Entwicklung von Schadsoftware zurück — unter anderem wegen der plattformübergreifenden Entwicklungsmöglichkeiten und möglicher Vorteile beim Umgehen von Erkennungsmechanismen.

Die Forscher beobachteten drei unterschiedliche Angriffsketten, die allesamt legitime Windows-Funktionen missbrauchen, um bösartiges Verhalten zu tarnen:

• Die erste Kette nutzt eine schädliche LNK-Datei, die das native Windows-Programm ftp.exe missbraucht, um Skripte auszuführen und geplante Aufgaben anzulegen, die den Kontakt zum Command-and-Control-Server der Angreifer aufrechterhalten.
• Die zweite setzt auf ein VHDX-Datenträgerabbild mit einer LNK-Datei, die eine Köder-Tabellenkalkulation öffnet und im Hintergrund still einen MSI-Installer startet, der PapRAT einrichtet.
• Die dritte beginnt mit einer URL-Verknüpfung, die über WebDAV eine LNK-Datei abruft; auch hier führt der Weg über einen MSI-Installer zu PapRAT. In dieser Kette liefert PapRAT zusätzlich WmRAT aus, ein zweites Implantat, das bereits zuvor von anderen Forschern dokumentiert wurde.

Diese Vorgehensweise zeige, „wie fortgeschrittene Cyberspionageoperationen native Systemwerkzeuge gezielt missbrauchen, um herkömmliche Endpunkterkennung zu umgehen", merkt Shane Barney, Chief Information Security Officer bei Keeper Security, an. „Indem sie native Windows-Werkzeuge wie ftp.exe und geplante Aufgaben für die erste Command-and-Control-Kommunikation vereinnahmen, bewegen sich die Angreifer in vertrauenswürdigen administrativen Kanälen, bevor sie eigene Schadsoftware ausrollen", sagt Barney. „Wenn ein Einbruch vertrauenswürdige Systemprozesse nutzt, haben signaturbasierte Kontrollen schlicht nichts, worauf sie anschlagen könnten."

Dieses „hybride Handwerk" aus legitimer Windows-Funktionalität und eigener Schadsoftware erfordert laut Barney, dass Organisationen auf strikte Rechtegrenzen und Identitätssicherheit setzen, statt sich allein auf Endpunktsignaturen zu verlassen. Lin empfiehlt, unerwartete LNK-Dateien, URL-Verknüpfungen, Datenträgerabbilder und MSI-Pakete mit Vorsicht zu behandeln, insbesondere wenn sie über unaufgeforderte Nachrichten eintreffen. „Nutzeraufklärung in Kombination mit Kontrollen, die verdächtige Ausführungsketten und ausgehenden C2-Verkehr erkennen, kann die Angriffsfläche gegenüber Kampagnen verringern, die legitime Windows-Funktionen mit eigener Schadsoftware vermischen", schrieb sie. Ebenso wichtig sei es, verdächtiges Verhalten bei Skriptwerkzeugen, geplanten Aufgaben und Installer-Aktivitäten zu überwachen und nicht nur bekannte Schadsoftware-Signaturen zu erkennen.

Besonders schwierig ist für Verteidiger die dritte Angriffskette, wie Jason Soroko, Senior Fellow bei Sectigo, anmerkt: Das Entfernen von PapRAT von kompromittierten Systemen beseitige nicht zwangsläufig den Zugang der Angreifer. Verteidiger müssten daher tiefer graben, „um zu prüfen, was sonst noch installiert wurde, und Skripte sowie geplante Aufgaben zu identifizieren, die weiterhin Befehle abholen könnten". Eine vollständige Wiederherstellung müsse über die Datei hinausgehen, die den ursprünglichen Alarm ausgelöst hat, und weitere Schadkomponenten, Persistenzmechanismen sowie sonstige Bestandteile der Kompromittierung erfassen.