Onderzoekers van Fortinet FortiGuard Labs waarschuwen voor een nieuwe PapRAT backdoor die is opgedoken in een cyberespionagecampagne tegen organisaties in Zuid-Azië. De dreigingsactor achter de activiteit—gelinkt aan meerdere namen zoals Bitter en APT-C-08—ontwikkelt en verfijnt blijkbaar doelgerichte tools om toegang tot systemen langdurig te onderhouden.
Wat deze campagne extra relevant maakt, is de combinatie van verschillende leveringsroutes en gedrag dat deels “normaal” kan lijken. Daardoor is detectie minder vanzelfsprekend: aanvallers benutten bestaande systeemfuncties, plannen persistente taken en wisselen instructies server-side uit.
Wie is Bitter en waarom is PapRAT nieuw
De campagne wordt toegeschreven aan een Zuid-Aziatische groep die al langer actief is en op verschillende adressen wordt aangeduid met varianten van dezelfde dreigingsnaam. In deze observatie gaat het om een tot dan toe onbekende remote access trojan: PapRAT. De onderzoekers noemen bovendien meerdere implementatietalen: er zijn zowel een C++- als een Rust-versie vastgesteld.
De kern van een remote access trojan is dat aanvallers systemen op afstand kunnen bedienen. In dit geval ondersteunt PapRAT onder meer commando-uitvoering, bestandsverplaatsing (upload/download), het verwijderen van bestanden en het opvragen van directory- en schijfinformatie.
Drie infectieketens: LNK, VHDX en URL
Een opvallend onderdeel is dat de campagne met drie verschillende infectieketens werkt. Dat vergroot de kans dat ten minste één route binnen de doelomgeving past bij de lokale beveiliging, gebruikersgewoonten of filterregels.
1) Windows Shortcut met misbruik van ftp.exe
In de eerste keten start de aanval met een Windows Shortcut-bestand (LNK). Dat LNK-bestand misbruikt het aanwezige hulpprogramma ftp.exe om scripts uit te voeren en vervolgens geplande taken te creëren. Die taken zijn bedoeld om contact met een command-and-control (C2) server te behouden.
Met deze aanpak wordt de uitvoering van kwaadaardige logica deels verborgen in het gebruik van legitieme tooling. Zo kan het kwaadaardige gedrag beter aansluiten op “normale” systeemactiviteiten.
2) VHDX-schijmafbeelding met een Excel-lokaas en MSI op de achtergrond
In de tweede keten wordt een VHDX-disk image ingezet. Daarin zit opnieuw een LNK-bestand, maar de gebruiker krijgt een ander lokmiddel: een Microsoft Excel-spreadsheet dient als afleiding.
Ondertussen draait er op de achtergrond een MSI-installer die PapRAT daadwerkelijk moet uitrollen. De combinatie van “lokaas” en stille installatie helpt om de gebruiker buiten beeld te houden terwijl de payload wordt geplaatst.
3) URL-shortcut via WebDAV naar LNK en MSI
De derde variant start met een URL-shortcut (URL-bestand). Dat bestand haalt een LNK op via WebDAV. Vervolgens volgt weer de MSI-stap die leidt tot het installeren van PapRAT.
Deze keten heeft als voordeel dat het eerste bestand slechts een brug is naar de echte initiatie. Hierdoor kan een deel van de aanvankelijke “look and feel” minder verdacht ogen, terwijl de uiteindelijke uitvoering alsnog door dezelfde doelpayload wordt gedaan.
Living-off-the-land gedrag en server-side aansturing
Fortinet beschrijft dat de aanval bewust gebruikmaakt van living-off-the-land (LotL). Dat betekent dat de aanvaller commando’s inzet via bestaande onderdelen van het systeem, in plaats van alles volledig zelf te implementeren.
In de beschreven campagne worden opdrachten uitgevoerd vanaf een server (genoemd als “goodnfortunes[.]com”). Hiermee kan de malware gegevens verzamelen zoals directory- en taakoverzichten, informatie uit mappen als Desktop, Documents en Downloads, plus gegevens over gemonteerde drives en het geïnstalleerde antivirusproduct.
De verzamelde verkenningsdata wordt vervolgens opgeslagen als abc.pdf en via een commando met curl teruggestuurd naar de C2. Daarna wordt de tussenliggende payload van het systeem verwijderd, wat de sporenbeleving kan verminderen.
Rust-versie: extra commando’s en PowerShell uitvoering
Naast de C++-variant is er een Rust-versie vastgesteld. Die breidt de mogelijkheden uit met extra commando’s. De basisfunctionaliteit blijft gericht op remote control, maar de Rust-implementatie voegt onder meer PowerShell-commando-executie toe.
De onderzoekers noemen voor de Rust-versie extra commando’s voor het uitvoeren van PowerShell, het pauzeren en weer hervatten van polling, en het beëindigen van het proces wanneer dat nodig is.
Daardoor is PapRAT niet alleen in staat om te draaien, maar ook om zich aan te passen aan veranderende omstandigheden of detectie—door timing en commando’s dynamischer te maken.
Welke acties kan PapRAT uitvoeren?
De C2 stuurt PapRAT aan met een reeks commando’s. In de rapportage worden o.a. deze acht commando’s expliciet genoemd:
- MSG: remote shell
- FDD: directory listing
- DEL: bestandsverwijdering
- RUN: willekeurige uitvoering van een bestand of opdracht
- GDR: drive enumeration
- SS1: screenshot capture
- UPP: upload lokale bestanden naar de C2-server
- DWW: download bestanden vanuit de C2-server
Deze set commando’s is typisch voor dreigingen die informatie willen verzamelen en controle willen behouden. Combineer dat met de screenshotfunctionaliteit en je krijgt een aanval die zowel bestuurt als observeert.
Staging- en scriptmodel: wendbaarheid zonder nieuwe binaries
Een kernpunt in de bevindingen is de manier waarop de aanvallers hun operatie sturen. Er is een stagingmodel beschreven dat de aanvaller operationele flexibiliteit geeft: updates kunnen server-side worden aangepast zonder dat er telkens een nieuwe binary hoeft te worden “gedropt”.
Volgens Fortinet helpt dit om detectie te omzeilen die gericht is op typische technieken zoals PE-drops en procesinjectie. In plaats daarvan blijft het aanvalspad meer leunen op het ophalen en uitvoeren van instructies.
Er is daarnaast een tweede scriptversie gezien die een extra bestand “talk.log” ophaalt van een andere serverlocatie. Dat bevat dan Base64-gecodeerde instructies die vervolgens als PowerShell worden uitgevoerd.
Extra payload-route: MSI als conduit naar WmRAT
In de derde keten zien onderzoekers dat er een script wordt gebruikt om via curl een MSI-installer te downloaden. Wederom fungeert die MSI als doorvoer naar PapRAT, waarna het proces nog verder gaat: de malware zet naar verluidt WmRAT uit, een type malware dat eerder ook in verband is gebracht met Bitter.
Dit wijst op een strategie waarbij de aanvaller niet alleen een enkele tool inzet, maar een keten van componenten om toegang te consolideren en functionaliteit uit te breiden.
Praktische aandachtspunten: waar moet je op letten
Voor defenders draait het hier niet alleen om “bekende handtekeningen”, maar om het gedrag dat bij de aanval hoort. Fortinet raadt aan om te letten op onverwachte LNK-bestanden, URL-shortcuts, schijmafbeeldingen (zoals VHDX) en MSI-pakketten, zeker wanneer ze binnenkomen via niet-uitgelokte berichten.
Omdat PapRAT aanstuurt op remote controle en verkenning, is het ook verstandig om te monitoren op ongebruikelijke combinaties van:
- geplande taken die verschijnen of aangepast worden na shortcut-activiteit
- scriptuitvoering die niet past bij de context van de gebruiker of organisatie
- bestandscreatie en verwijdering rond staging zoals tijdelijke bestanden
- dataverkeer richting C2-achtige endpoints, inclusief outbound transfers via hulpmiddelen zoals curl
Wil je bredere context over aanvallen waarbij living-off-the-land en scripting een rol spelen? Lees dan ook eens het artikel over SSHole en directe acties bij snelle exploitatie om te zien hoe urgentie en detectiesignalen samen moeten vallen.
Gericht reageren: detectie en beheer versnellen
De belangrijkste les is dat je verdediging niet moet leunen op één verdacht bestandstype. PapRAT arriveert via meerdere routes en gebruikt daarna een command-based model met dynamische updates. Dat vraagt om detectie rondom procesketens, geplande taakgedrag, en netwerkuitgaande verbindingen.
Daarnaast helpt het om je response-werkflow klaar te hebben: als je vermoedt dat een LNK, URL-shortcut of MSI pakket misbruikt is, wil je snel kunnen isoleren, forensische artefacten veiligstellen en de hostingomgeving doorlichten op persistente mechanismen.
Conclusie
De PapRAT backdoor laat zien hoe cyberespionagecampagnes steeds wendbaarder worden. Bitter combineert verschillende leveringsketens (LNK, VHDX en URL/WebDAV), zet LotL-technieken in en houdt de operatie flexibel via server-side instructies. Daardoor is het voor organisaties cruciaal om niet alleen op “bekende malware” te letten, maar op het hele gedragspatroon: scripting, geplande taken, installer-activiteit en uitgaande datastromen.
Door vroeg signalen te herkennen en je monitoring te richten op de keten van acties, vergroot je de kans om besmetting te stoppen voordat er screenshots, data-extractie of verdere installaties plaatsvinden.
Bron: https://thehackernews.com/2026/11/bitter-hackers-deploy-new-paprat.html
