Le groupe de cyberespionnage connu sous le nom de Bitter a été repéré lors d’une campagne ciblant des organisations en Asie du Sud avec un nouveau cheval de Troie d’accès distant (RAT), baptisé PapRAT. Les analyses menées par les chercheurs en sécurité indiquent que cette menace se distingue par des implémentations en C++ et en Rust, lui conférant des fonctionnalités étendues de contrôle à distance.
Le logiciel malveillant intègre des capacités variées, parmi lesquelles l’exécution de commandes, le téléchargement et la suppression de fichiers, ainsi que la réalisation de captures d’écran. La variante développée en Rust prend également en charge l’exécution de scripts PowerShell, augmentant la flexibilité opérationnelle des attaquants.
Trois chaînes d’infection combinées
La campagne se caractérise par l’utilisation de trois chaînes d’infection distinctes. La première approche exploite des scripts exécutés depuis un serveur distant pour collecter des informations sur le système, les répertoires utilisateurs et les logiciels de sécurité installés. Ces données de reconnaissance sont ensuite exfiltrées par le biais d’outils de transfert natifs.
Une seconde séquence d’attaque recourt à des installateurs MSI pour déployer la charge utile tout en s’appuyant sur des scripts encodés pour récupérer des instructions additionnelles. Enfin, une troisième variante combine ces méthodes en téléchargeant un installateur MSI via des scripts, ce qui permet de déployer PapRAT ainsi que d’autres charges malveillantes connues utilisées par le passé par le groupe Bitter.
Une adaptation des techniques d’intrusion
L’utilisation de modèles de mise en scène décentralisés permet aux attaquants de mettre à jour leurs commandes directement côté serveur sans modifier les binaires initiaux, réduisant ainsi le risque de détection par les équipements de sécurité traditionnels. Les experts recommandent une vigilance accrue face aux fichiers de raccourcis, aux images disques et aux paquets d’installation non sollicités.
Source : The Hacker News
