FortiGuard povezuje lažne pozivnice za skupove sa grupom BITTER i trojancem PapRAT
FortiGuard Labs je analizirao tri načina na koja su napadači koristili dokumente i pozivnice kao mamac. U dva lanca instalirali su PapRAT, alat za udaljeni pristup Windows računarima.
Šta se desilo?
Istraživači su sa visokim stepenom pouzdanosti pripisali posmatranu aktivnost grupi BITTER. Procena se zasniva na imenima mamaca, komunikaciji sa komandnim serverima i analizi uzoraka.
Koga pogađa?
Mamci imitiraju diplomatsku prepisku i pozive na sastanke povezane sa južnom Azijom. Analiza se odnosi na Windows okruženja i ne potvrđuje napade na organizacije na Balkanu.
Kako se zaštititi?
- Neočekivanu pozivnicu proverite kod organizatora preko poznatog kontakta.
- Ne pokrećite prečicu ili instalacioni paket iz priloga da biste pročitali program skupa.
- Pregledajte da li poslovna pošta treba da propušta slike virtuelnih diskova i prečice.
- Ako je prilog pokrenut, izolujte računar i sačuvajte evidenciju pokrenutih procesa i mrežnih veza za istragu.
Tehnički detalji
U prvom lancu korišćeni su Windows alati i zakazani zadaci. U drugom je prečica unutar virtuelnog diska VHDX prikazivala dokument dok se pokretao MSI instalacioni paket. U trećem je prečica preuzeta preko WebDAV-a. Istraživači su analizirali verzije PapRAT-a napisane u jezicima C++ i Rust.
Zašto je važno?
Trojanac može da izvršava komande, prenosi datoteke i snima ekran. Otvaranje očekivanog dokumenta zato nije pouzdan znak da u pozadini ništa drugo nije pokrenuto.
Preporuka Sajber Radara
Pri istrazi povežite otvaranje priloga sa pokretanjem instalera, nastankom zakazanog zadatka i odlaznim vezama istog računara.