Группа Bitter, также известная как TA397, развернула кампанию PapRAT против организаций Южной Азии сразу по трём сценариям проникновения в Windows. Во всех случаях атакующие используют штатные компоненты ОС — от ftp.exe до планировщика задач, — а затем устанавливают собственный троян удалённого доступа. Для российских ИБ-команд это не экзотика регионального шпионажа, а вполне узнаваемый урок: доверенный процесс Windows давно перестал быть признаком безопасной активности.
О кампании сообщает Dark Reading со ссылкой на исследование FortiGuard Labs. Аналитики с высокой уверенностью отнесли атаки к Bitter — группе, которую связывают с Индией и которая активна как минимум с 2013 года. Ранее её целью становились государственные структуры, энергетика и инженерные организации; задача привычна для кибершпионажа: закрепиться в сети, собрать данные и сохранить удалённое управление скомпрометированными машинами.
В центре операции находится PapRAT — кастомный RAT для Windows. После установки он может выполнять команды, работать с файлами, делать снимки экрана и загружать дополнительные полезные нагрузки. Это уже не одноразовый загрузчик, который можно убрать вместе с письмом-вложением: оператор получает канал для дальнейшей разведки и развития атаки внутри инфраструктуры.
Отдельно исследователи отмечают эволюцию самого трояна. Bitter перевела PapRAT с C++ на Rust и расширила набор команд с восьми до 11. В обновлённой версии появились запуск PowerShell, команда ожидания и штатное завершение работы. Rust не делает вредоносную программу «невидимой» по умолчанию, но для разработчиков малвари он удобен переносимостью и современной экосистемой. Для защитников важнее другое: смена реализации показывает, что инструментарий Bitter не лежит в архиве, а продолжает развиваться.
Три пути до RAT
Первый сценарий начинается со вредоносного LNK-файла. Он злоупотребляет утилитой ftp.exe, через которую запускаются скрипты и создаются задания в планировщике Windows. Эти задания поддерживают связь с сервером управления атакующих. В телеметрии такая цепочка может выглядеть особенно неприятно: в ней есть подписанные системные бинарники и легитимный механизм автозапуска, а не только файл с очевидно подозрительным именем.
Во втором сценарии злоумышленники используют образ диска VHDX. Внутри находится LNK-файл: пользователю показывают приманку в виде таблицы, а параллельно без лишнего шума запускается MSI-установщик, разворачивающий PapRAT. Ставка здесь сделана на привычку доверять образам дисков и инсталляторам, особенно когда перед глазами открывается правдоподобный документ. Для почтовой защиты это повод проверять не только офисные вложения, но и образы, ярлыки и последовательность дочерних процессов после их открытия.
Третий путь использует URL-ярлык. Он получает LNK через WebDAV, после чего снова запускается MSI-установщик с PapRAT. В этой ветке троян дополнительно доставляет WmRAT — другой имплант, который уже описывали исследователи. Именно этот сценарий усложняет реагирование: удаление найденного PapRAT не гарантирует, что доступ злоумышленников закрыт. В системе могут остаться второй имплант, скрипты или задания планировщика, способные заново скачать команды и нагрузку.
Почему сигнатур недостаточно
Смысл такой техники не в том, чтобы обойти каждую защиту по отдельности. Атакующие прячут критические этапы в разрешённые и распространённые функции Windows. CISO Keeper Security Шейн Барни обращает внимание: когда первичный канал управления строится через ftp.exe и планировщик задач, операция проходит через доверенные административные каналы ещё до развёртывания кастомной малвари. Антивирусная сигнатура полезна против известного образца, но не объяснит, почему ярлык породил ftp.exe, тот запустил скрипт, а затем на хосте появилось новое задание с внешним сетевым соединением.
Практический вывод для SOC и администраторов — искать не единичные индикаторы, а аномальные цепочки исполнения. Поводом для проверки должны быть неожиданные LNK и URL-файлы, VHDX-образы и MSI-пакеты из непроверенных сообщений, запуск ftp.exe в пользовательском контексте, создание задач планировщика после открытия ярлыка, а также исходящие соединения к новым внешним адресам. Полезны ограничения привилегий, контроль запуска скриптов и установщиков, а также корреляция событий EDR, почтового шлюза и прокси. Пользовательское обучение здесь не отменяется, но просьба «не открывать странное» не заменяет технический контроль.
Кампания PapRAT хорошо показывает, куда смещается работа защиты: от охоты за одним вредоносным файлом к разбору всей цепочки — ярлыка, образа, установщика, задач и сетевой активности. Чем чаще шпионские группы используют штатные инструменты Windows как транспорт, тем ценнее для бизнеса становится качественная телеметрия и отработанный поиск закрепления после инцидента. Детали исследования и индикаторы кампании опубликованы в материале .
