Bitter Hackers triển khai PapRAT, backdoor mới trong chiến dịch gián điệp
"The Bitter hacking group (APT-C-08) is deploying a new backdoor named PapRAT in cyberespionage campaigns targeting South Asian organizations. PapRAT, available in C++ and Rust implementations, utilizes various infection chains including LNK files, VHDX images, and URL shortcuts to establish remote access and exfiltrate data. The malware employs living-off-the-land techniques and a staging model to evade detection."
Sự xuất hiện của PapRAT backdoor cho thấy sự leo thang trong các chiến dịch gián điệp mạng. Khả năng thu thập thông tin hệ thống và thực thi lệnh từ xa có thể gây ra mất mát dữ liệu và gián đoạn hoạt động.
Các tổ chức ở Nam Á, bao gồm cả Việt Nam, có thể bị ảnh hưởng bởi mất mát thông tin nhạy cảm và gián đoạn hoạt động do PapRAT. Việc phát hiện và ngăn chặn các cuộc tấn công này đòi hỏi đầu tư vào các giải pháp bảo mật tiên tiến.
Nhóm hacker Bitter (APT-C-08) đang sử dụng backdoor mới tên PapRAT để tấn công các tổ chức ở Nam Á từ tháng 11/2026. Fortinet FortiGuard Labs ghi nhận PapRAT có phiên bản C++ và Rust, cho phép thực thi lệnh, tải/xóa file, liệt kê thư mục và chụp ảnh màn hình. Phiên bản Rust còn thêm khả năng chạy PowerShell.
Chiến dịch này sử dụng ba chuỗi lây nhiễm: file shortcut Windows (LNK) lợi dụng ftp.exe, ảnh VHDX chứa file LNK mở file Excel giả và cài MSI, và shortcut URL tải file LNK qua WebDAV, dẫn đến cài đặt MSI.
PapRAT sử dụng kỹ thuật living-off-the-land (LotL) để thực thi lệnh từ máy chủ điều khiển (C2) goodnfortunes[.]com. Nó thu thập thông tin hệ thống, lưu vào file abc.pdf rồi gửi về C2. Một phiên bản khác tải file talk.log từ techtalkhelp[.]com và thực thi lệnh PowerShell.
Phiên bản MSI của PapRAT hỗ trợ 8 lệnh: MSG (shell), FDD (liệt kê thư mục), DEL (xóa file), RUN (thực thi file), GDR (liệt kê ổ đĩa), SS1 (chụp ảnh màn hình), UPP (tải file lên C2 rivingtonclarks[.]com) và DWW (tải file từ C2). Phiên bản Rust có thêm MS2 (PowerShell), SLP (ngủ/tái hoạt động) và BYE (kết thúc tiến trình).
Chuỗi tấn công thứ ba kết hợp hai chuỗi trước, sử dụng script để tải MSI qua curl. MSI sau đó cài đặt PapRAT và WmRAT, một malware từng được Bitter sử dụng. Fortinet khuyến nghị giám sát hoạt động của script, scheduled task và MSI, đặc biệt từ nguồn không rõ. [https://www.securityweek.com/bitter-hackers-deploy-new-paprat-backdoor-in-cyberespionage-campaign-targeting-south-asia/]
Câu hỏi thường gặp
PapRAT là gì?
PapRAT là một backdoor mới được nhóm hacker Bitter sử dụng để thực hiện các cuộc tấn công gián điệp. Nó có các phiên bản C++ và Rust, cho phép thực thi lệnh, tải/xóa file và thu thập thông tin hệ thống.
Các chuỗi lây nhiễm của PapRAT là gì?
PapRAT sử dụng ba chuỗi lây nhiễm: file shortcut Windows (LNK), ảnh VHDX chứa file LNK và shortcut URL. Tất cả đều dẫn đến việc cài đặt backdoor thông qua MSI installer.
Kỹ thuật LotL được sử dụng trong chiến dịch này là gì?
Kỹ thuật living-off-the-land (LotL) cho phép PapRAT thực thi lệnh từ máy chủ điều khiển bằng cách sử dụng các công cụ có sẵn trên hệ thống, giúp tránh bị phát hiện bởi các giải pháp bảo mật.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Bitter liên tục cải tiến công cụ tấn công cho thấy họ tập trung vào việc duy trì quyền truy cập vào hệ thống mục tiêu. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ hoặc tài chính, nên xem xét triển khai các giải pháp phát hiện bất thường và phân tích hành vi để phát hiện các hoạt động đáng ngờ liên quan đến script, scheduled task và MSI. Điều đáng chú ý là, các kỹ thuật LotL mà PapRAT sử dụng có thể khó phát hiện bằng các giải pháp bảo mật truyền thống.