Hacker Bitter Sebar Malware PapRAT untuk Spionase Siber

Kelompok peretas yang dikenal dengan nama Bitter kembali menjadi sorotan setelah terungkap menggunakan malware baru bernama PapRAT dalam kampanye spionase siber yang menargetkan sejumlah organisasi di Asia Selatan. Malware jenis Remote Access Trojan (RAT) ini memungkinkan penyerang mengendalikan perangkat korban dari jarak jauh, mencuri informasi, menjalankan perintah, hingga mengunduh dan menghapus file tanpa sepengetahuan pemilik sistem.

Kampanye tersebut menunjukkan bahwa kelompok Bitter terus mengembangkan teknik serangannya untuk mendapatkan akses ke jaringan organisasi yang menjadi target. Tidak hanya mengandalkan malware, kelompok ini juga memanfaatkan fitur bawaan Windows dan berbagai metode penyamaran untuk mengurangi kemungkinan aktivitasnya terdeteksi oleh sistem keamanan.

Temuan mengenai aktivitas tersebut diungkap oleh peneliti Fortinet FortiGuard Labs. Dalam laporan penelitiannya, Fortinet mengidentifikasi penggunaan PapRAT sebagai perangkat serangan baru yang sebelumnya belum pernah dilaporkan.

Kelompok Bitter sendiri dikenal dengan sejumlah nama lain, seperti APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17, dan TA397. Kelompok ini merupakan aktor ancaman persisten tingkat lanjut atau Advanced Persistent Threat (APT) yang diketahui melakukan aktivitas spionase siber dengan menyasar organisasi di kawasan Asia Selatan.

Peneliti Fortinet FortiGuard Labs, Cara Lin, menjelaskan bahwa PapRAT memiliki dua varian yang dikembangkan menggunakan bahasa pemrograman C++ dan Rust. Keduanya mempunyai kemampuan untuk menjalankan perintah dari jarak jauh, mengunggah dan mengunduh file, menghapus data, memindai direktori serta drive, dan mengambil tangkapan layar perangkat korban.

Namun, varian Rust memiliki kemampuan tambahan, termasuk menjalankan perintah PowerShell dan sejumlah instruksi lainnya. Kemampuan tersebut membuat penyerang memiliki lebih banyak pilihan untuk mengendalikan perangkat yang telah berhasil disusupi.

Tiga Metode Penyebaran Malware PapRAT

Salah satu hal yang menjadi perhatian dalam kampanye spionase siber Bitter adalah penggunaan tiga rantai infeksi berbeda untuk menyebarkan PapRAT. Setiap metode memanfaatkan file dan mekanisme tertentu agar malware dapat masuk ke perangkat target.

Metode pertama menggunakan file Windows Shortcut dengan ekstensi LNK. Dalam skema ini, penyerang menyalahgunakan utilitas bawaan Windows bernama ftp.exe untuk menjalankan skrip berbahaya.

File tersebut juga dimanfaatkan untuk membuat scheduled tasks atau tugas terjadwal. Mekanisme ini memungkinkan perangkat korban tetap melakukan komunikasi dengan server perintah dan kendali (Command-and-Control atau C2) milik penyerang.

Dengan adanya komunikasi tersebut, penyerang dapat mengirimkan instruksi tambahan dan mempertahankan akses ke perangkat yang telah terinfeksi.

Metode kedua menggunakan file Virtual Hard Disk berformat VHDX yang di dalamnya terdapat file LNK. Ketika korban membuka file tersebut, sebuah dokumen Microsoft Excel akan ditampilkan sebagai umpan agar aktivitas mencurigakan tidak langsung diketahui.

Namun, di balik proses tersebut, installer berformat MSI dijalankan secara diam-diam di latar belakang untuk memasang PapRAT. Dengan demikian, korban mungkin mengira hanya sedang membuka dokumen biasa, padahal perangkatnya telah menjalankan proses instalasi malware.

Sementara itu, metode ketiga memanfaatkan file shortcut berbasis URL. File tersebut digunakan untuk mengunduh file LNK melalui protokol WebDAV. Selanjutnya, file LNK mengarahkan proses serangan menuju installer MSI yang bertugas memasang PapRAT.

Penggunaan beberapa jalur infeksi ini memperlihatkan bahwa kelompok Bitter tidak bergantung pada satu metode penyebaran saja. Apabila salah satu jalur berhasil diblokir, metode lainnya berpotensi tetap digunakan untuk menjangkau perangkat target.

Manfaatkan Fitur Windows untuk Menghindari Deteksi

Selain menggunakan berbagai metode infeksi, kelompok Bitter juga menerapkan teknik Living-off-the-Land (LotL) dalam menjalankan serangannya.

LotL merupakan teknik serangan siber yang memanfaatkan program, aplikasi, atau fitur bawaan sistem operasi untuk melakukan aktivitas berbahaya. Karena menggunakan perangkat yang sebenarnya sah, aktivitas penyerang dapat terlihat seperti proses normal sehingga lebih sulit dibedakan dari kegiatan pengguna biasa.

Dalam kampanye ini, Bitter memanfaatkan pendekatan tersebut untuk menjalankan perintah dari server jarak jauh bernama goodnfortunes[.]com.

Melalui server tersebut, penyerang dapat menginstruksikan perangkat yang telah terinfeksi untuk mengumpulkan berbagai informasi penting. Data yang menjadi sasaran meliputi daftar direktori, tugas yang sedang berjalan, informasi file dalam folder Desktop, Documents, dan Downloads, produk antivirus yang terpasang, serta daftar drive yang terhubung ke perangkat.

Informasi yang berhasil dikumpulkan kemudian disimpan dalam sebuah file bernama abc.pdf. Selanjutnya, data tersebut dikirimkan ke server C2 menggunakan perintah curl.

Setelah proses pengiriman selesai, file sementara tersebut akan dihapus dari perangkat korban. Langkah ini diduga bertujuan mengurangi jejak aktivitas penyerang sehingga proses investigasi menjadi lebih sulit.

Peneliti Fortinet juga menemukan versi lain dari skrip yang digunakan dalam kampanye tersebut. Skrip ini dirancang untuk mengambil file bernama talk.log dari server techtalkhelp[.]com.

File talk.log berisi skrip yang telah dienkode menggunakan Base64. Skrip tersebut kemudian digunakan untuk mengambil instruksi tambahan dari server yang sama dan menjalankannya sebagai perintah PowerShell.

Teknik ini memberikan keuntungan bagi penyerang karena mereka dapat mengubah instruksi serangan secara langsung melalui server tanpa harus mengirimkan program baru ke perangkat korban.

Fortinet menjelaskan bahwa model tersebut memberikan fleksibilitas operasional bagi kelompok Bitter. Penyerang dapat memperbarui perintah dari sisi server tanpa perlu memasang file biner baru atau menggunakan teknik injeksi proses yang lebih mudah dikenali oleh sejumlah perangkat keamanan.

PapRAT Punya Delapan Perintah untuk Mengendalikan Korban

Kemampuan utama PapRAT terletak pada fungsinya sebagai malware akses jarak jauh. Setelah berhasil dipasang melalui installer MSI, malware ini dapat menerima berbagai instruksi dari server C2 untuk menjalankan aktivitas tertentu pada perangkat korban.

Fortinet mengidentifikasi delapan perintah utama yang didukung PapRAT. Setiap perintah memiliki fungsi berbeda untuk membantu penyerang mengakses, mengelola, dan mengambil informasi dari sistem yang telah disusupi.

Berikut delapan perintah tersebut:

• MSG: Menjalankan perintah melalui remote shell atau terminal jarak jauh.
• FDD: Menampilkan daftar direktori dan file yang terdapat pada perangkat korban.
• DEL: Menghapus file dari sistem yang telah terinfeksi.
• RUN: Menjalankan file atau program tertentu pada perangkat korban.
• GDR: Memindai dan menampilkan daftar drive yang tersedia.
• SS1: Mengambil tangkapan layar dari perangkat korban.
• UPP: Mengunggah file lokal ke server C2 bernama rivingtonclarks[.]com.
• DWW: Mengunduh file dari server C2 ke perangkat korban.

Selain delapan perintah tersebut, varian PapRAT berbasis Rust memiliki tiga perintah tambahan yang memperluas kemampuan operasional malware.

Perintah pertama adalah MS2 yang digunakan untuk menjalankan instruksi PowerShell. Kedua, SLP yang berfungsi menghentikan aktivitas malware untuk sementara sebelum kembali melanjutkan pemeriksaan atau komunikasi dengan server. Ketiga, BYE yang digunakan untuk menghentikan proses malware yang sedang berjalan.

Kehadiran perintah tambahan ini menunjukkan bahwa pengembangan PapRAT tidak hanya berfokus pada pencurian informasi, tetapi juga memberikan kendali lebih luas kepada penyerang terhadap perangkat yang berhasil dikuasai.

PapRAT Juga Digunakan untuk Menyebarkan Malware WmRAT

Temuan lain yang tidak kalah penting terdapat pada rantai serangan ketiga. Dalam metode ini, kelompok Bitter menggabungkan sejumlah teknik dari dua metode infeksi sebelumnya. Penyerang menggunakan skrip untuk mengunduh installer MSI melalui perintah curl. Installer tersebut kemudian menjadi sarana untuk memasang PapRAT pada perangkat target.

Namun, aktivitas serangan tidak berhenti setelah PapRAT berhasil dipasang. Malware tersebut selanjutnya digunakan untuk menyebarkan perangkat lunak berbahaya lainnya bernama WmRAT.

WmRAT sebelumnya telah diidentifikasi sebagai salah satu malware yang digunakan oleh kelompok Bitter. Penggunaan dua malware dalam satu rangkaian serangan memperlihatkan bagaimana kelompok tersebut memanfaatkan perangkat serangan yang berbeda untuk memperluas kemampuan operasionalnya.

Temuan ini sekaligus menunjukkan bahwa Bitter terus menyempurnakan perangkat serangan khusus yang dimiliki untuk memperoleh dan mempertahankan akses ke sistem organisasi yang menjadi target.

Organisasi Diminta Waspadai File dan Aktivitas Mencurigakan

Munculnya PapRAT menjadi pengingat bahwa ancaman siber terus berkembang, baik dari sisi kemampuan malware maupun metode penyebarannya. Penyerang kini tidak selalu mengandalkan program berbahaya yang mudah dikenali, tetapi juga memanfaatkan fitur sistem operasi yang sah untuk menyamarkan aktivitas mereka.

Fortinet menilai organisasi perlu meningkatkan kemampuan pemantauan keamanan dengan memperhatikan perilaku mencurigakan, terutama aktivitas yang melibatkan perangkat skrip, tugas terjadwal, dan proses instalasi aplikasi.

Deteksi keamanan juga tidak seharusnya hanya bergantung pada tanda tangan malware yang sudah dikenal. Pendekatan tersebut perlu dilengkapi dengan pemantauan perilaku sistem agar aktivitas berbahaya yang menggunakan teknik baru tetap dapat diidentifikasi.

Fortinet turut mengingatkan organisasi agar berhati-hati ketika menerima file LNK, shortcut URL, disk image, maupun paket installer MSI yang tidak dikenal. Kewaspadaan perlu ditingkatkan, terutama jika file tersebut berasal dari pesan, email, atau komunikasi yang tidak pernah diminta sebelumnya.

Bagi organisasi, langkah pencegahan dapat dilakukan dengan membatasi eksekusi file yang tidak tepercaya, memantau aktivitas PowerShell dan utilitas sistem, memeriksa tugas terjadwal yang mencurigakan, serta memperbarui sistem keamanan secara berkala.

Pada akhirnya, kampanye PapRAT memperlihatkan bahwa ancaman spionase siber semakin mengandalkan kombinasi malware khusus, penyalahgunaan fitur bawaan sistem, dan komunikasi jarak jauh untuk mempertahankan akses ke jaringan korban. Tanpa pemantauan keamanan yang menyeluruh, aktivitas semacam ini berpotensi berlangsung dalam waktu lama sebelum akhirnya terdeteksi.