กลุ่มแฮ็กเกอร์ Bitter ใช้ PapRAT ซุ่มโจมต์องค์กรในเอเชียใต้
กลุ่มอันตรามาตรการไซเบอร์ Bitter ใช้ PapRAT ที่ยังไม่เคยถูกรายงาน แอบเข้าระบบองค์กรในเอเชียใต้ พร้อมโค้ด C++ และ Rust
กลุ่มอันตรามาตรการไซเบอร์ที่เป็นที่รู้จักในชื่อ Bitter กำลังใช้มัลแวร์ชนิดโทรมัลเข้าถึงระบบขององค์กรในเอเชียใต้ เครื่องมือที่ถูกติดตามในครั้งนี้มีชื่อว่า PapRAT และยังไม่เคยมีรายงานมาก่อนเกี่ยวกับมัลแวร์ตัวนี้
PapRAT ถูกนำเสนอเป็นโทรมัลเข้าถึงระบบที่เปิดช่องให้ผู้โจมตีส่งคำสั่งภายในเครื่องหรือระบบที่ติดเชื้อได้ จุดสำคัญที่ Cara Lin นักวิเคราะห์ความปลอดภัยของ Fortinet FortiGuard Labs ระบุคือมีการพัฒนาเวอร์ชันด้วย C++ และ Rust สองภาษา ความสามารถที่ยืนยันได้จากข้อมูลเผยแพร่รวมถึงการดำเนินคำสั่ง หรือ command execution
กลุ่ม Bitter และชื่อที่ใช้อ้างอิง
Bitter ถูกจัดอยู่ในกลุ่มผู้ก่อการโจมตีที่มุ่งเก็บข้อมูล และมีชื่อเรียกหลายชุดในงานวิเคราะห์ภัยคุกคาม ได้แก่ APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 และ TA397 ชื่อเหล่านี้ช่วยให้ผู้ติดตามเหตุการณ์เชื่อมโยงกิจกรรมของกลุ่มกับเครื่องมือที่ตรวจพบในแต่ละช่วงได้ง่ายขึ้น เป้าหมายที่บันทึกไว้อยู่ในภูมิภาคเอเชียใต้ แต่ข้อมูลที่ให้มายังไม่ระบุชื่อองค์กร ประเทศ สาขา หรือกลุ่มอุตสาหกรรมเฉพาะ
PapRAT ทำหน้าที่อย่างไร
โทรมัลเข้าถึงระบบมีหน้าที่เปิดทางให้ผู้ใช้ที่ไม่ได้รับอนุญาตส่งคำสั่งผ่านช่องทางที่มัลแวร์เตรียมไว้ การดำเนินคำสั่งใน PapRAT จึงสอดคล้องกับการใช้เครื่องมือดังกล่าว โดยผู้โจมตีสามารถเรียกใช้คำสั่งบนเครื่องหรือระบบที่ติดมัลแวร์ได้ภายใต้สิทธิ์และขอบเขตของมัลแวร์ คำว่า previously unreported หมายถึงชุดข้อมูลแรกที่เผยแพร่เกี่ยวกับเครื่องมือนี้ ไม่ได้ยืนยันว่าเครื่องมือเพิ่งถูกพัฒนาหรือทุกกรณีที่พบเป็นการค้นพบใหม่
เวอร์ชัน C++ และ Rust ของ PapRAT
การมีโค้ด C++ และ Rust แสดงว่า PapRAT มีการทำเวอร์ชันด้วยภาษาโปรแกรมสองภาษา ผู้วิเคราะห์จึงต้องพิจารณาทั้งแบบ C++ และแบบ Rust เมื่อตรวจสอบตัวอย่างโค้ดหรือพฤติกรรมของมัลแวร์ที่เกี่ยวข้องกับแคมเปญ อย่างไรก็ตาม ข้อมูลที่เผยแพร่ยังไม่ได้เจาะลึกว่าแต่ละเวอร์ชันต่างกันอย่างไร ทั้งด้านความสามารถ วิธีสื่อสาร และเงื่อนไขการทำงาน ข้อสรุปที่ตรงไปตรงมาจึงมีเพียงการมีเวอร์ชันสองภาษาและการรองรับคำสั่งรัน
ความสามารถในการสั่งงาน
ความสามารถที่ยืนยันได้คือ command execution หรือการดำเนินคำสั่ง ความสามารถนี้ทำให้มัลแวร์ทำหน้าที่มากกว่าการส่งข้อมูลออกไป เพราะผู้โจมตีสามารถสั่งงานที่อยู่เบื้องหลังผ่านช่องทางที่เตรียมไว้ อย่างไรก็ตาม ข้อมูลต้นทางที่ให้มายังไม่ครบในส่วนรายละเอียดที่เกี่ยวข้องกับไฟล์ จึงไม่ควรสรุปเพิ่มเติมว่าไฟล์ถูกนำไปใช้งานด้วยวิธีใด เว้นแต่จะมีหลักฐานสนับสนุน
นัยสำคัญของแคมเปญ
แคมเปญนี้สะท้อนว่าการติดตามเครื่องมือใหม่ต้องเชื่อมโยงพฤติกรรมของการเข้าถึงระบบและการดำเนินคำสั่ง ไม่ใช่พึ่งเพียงชื่อไฟล์หรือชื่อมัลแวร์เพียงอย่างเดียว สำหรับองค์กรที่อยู่ในเอเชียใต้ ข้อมูลที่มีประโยชน์ต่อการประเมินความเสี่ยงคือกลุ่มผู้โจมตีมีนามแฝดหลายชื่อ มุ่งเป้าหมายไปยังองค์กรในภูมิภาคนี้ และใช้เครื่องมือที่ยังไม่เคยถูกรายงานซึ่งมีโค้ดสองภาษาและรองรับคำสั่งรัน รายละเอียดเกี่ยวกับกลไกส่งข้อมูล การคงอยู่ และขอบเขตความเสียหายยังสรุปไม่ได้จากข้อมูลชุดนี้
Reference
The Hacker News
หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม
💬 Line @monsteronline
☎️ Tel 02-026-6664
📩 Email [email protected]
🌐 Website mon.co.th