🔍 Contexte

Publié le 2 novembre 2026 par FortiGuard Labs (Cara Lin), cet article de recherche sur les menaces documente une campagne active attribuée avec haute confiance au groupe BITTER, un acteur de cyberespionnage suspecté d’origine sud-asiatique, actif depuis au moins 2013 et ciblant historiquement les secteurs gouvernemental, énergétique et de l’ingénierie.

🎯 Campagne et ciblage

La campagne cible des organisations en Asie du Sud et utilise des leurres à thématique diplomatique et militaire :

  • “update on Avn Comd and Staff program”
  • “NV-683 Request for Bilateral Meeting during 22nd HACGAM”
  • “Letter from the Ambassador - 11th Belt and Road Summit.vhdx”
  • “Official Invitation Majilis 2026 Gala Dinner.rar”

⛓️ Trois chaînes d’infection

Chaîne 1 — LNK + ftp.exe (LOLBin) :

  • Fichier LNK abusant de ftp.exe pour exécuter des scripts via icon.ico et res.ico
  • Création de tâches planifiées (MicrosoftUpdates\updates11678)
  • Reconnaissance via curl vers goodnfortunes[.]com, collecte de données système envoyées en POST
  • Staging via techtalkhelp[.]com/talk.log (script Base64 encodé)

Chaîne 2 — Image disque VHDX + MSI :

  • Image VHDX contenant un LNK, un leurre XLS et un installeur MSI (Visa_Details.msi)
  • Déploiement de PapRAT via une CustomAction de type 194 dans le MSI
  • PapRAT se masque en bruzsvc.exe (“Microsoft Corporation”)
  • C2 : rivingtonclarks[.]com, communication HTTP toutes les 10 secondes, configuration XOR-encodée (clé 0x50)

Chaîne 3 — URL shortcut + WebDAV + MSI :

  • Archive RAR contenant un fichier .url pointant vers rappellingaart[.]com via WebDAV
  • Déploiement de PapRAT via Imp_Details.msi, C2 : chestergreenfarming[.]com
  • Téléchargement de WmRAT (vnces.exe) via la commande DWW de PapRAT

🦠 Analyse de PapRAT

Implémentation C++ :

  • Identification victime : <USERNAME>_<HOSTNAME>
  • 8 commandes C2 : msg (shell), FDD (listing), DEL, RUN, GDR (drives), SS1 (screenshot), UPP (upload), DWW (download)
  • Transferts de fichiers avec code OTP et ClientID

Implémentation Rust (variante évoluée) :

  • PDB : requpap.pdb, nom produit : papsolutions
  • Délai initial de 42 secondes, polling toutes les 5 secondes
  • Constantes obfusquées : inversées + décalage ROT-3
  • C2 : www[.]rivingtonclarks[.]com/banana/
  • 3 commandes supplémentaires : MS2 (PowerShell), SLP (sleep), BYE (exit)

WmRAT : RAT C++ secondaire, C2 netmansrvdns[.]com, capable de collecte système, screenshots, listing de fichiers et exécution de commandes.

🛡️ Détections Fortinet

Signatures AV : LNK/Agent.BC!tr, LNK/Agent.F!tr, W64/PapRAT.A!tr, W32/WmRAT.A!tr

📄 Type d’article

Analyse technique approfondie publiée par FortiGuard Labs, visant à documenter les TTP, l’évolution du malware PapRAT et fournir des IOCs exploitables pour la communauté CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1547.005 — Boot or Logon Autostart Execution: Security Support Provider (Persistence)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1218.007 — System Binary Proxy Execution: Msiexec (Defense Evasion)
  • T1218 — System Binary Proxy Execution (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1132.001 — Data Encoding: Standard Encoding (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1113 — Screen Capture (Collection)
  • T1083 — File and Directory Discovery (Discovery)
  • T1082 — System Information Discovery (Discovery)
  • T1518.001 — Software Discovery: Security Software Discovery (Discovery)
  • T1560 — Archive Collected Data (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1187 — Forced Authentication (Credential Access)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)

IOC

  • Domaines : goodnfortunes.com — VT · URLhaus · ThreatFox
  • Domaines : techtalkhelp.com — VT · URLhaus · ThreatFox
  • Domaines : rivingtonclarks.com — VT · URLhaus · ThreatFox
  • Domaines : rappellingaart.com — VT · URLhaus · ThreatFox
  • Domaines : gomescareerplans.com — VT · URLhaus · ThreatFox
  • Domaines : chestergreenfarming.com — VT · URLhaus · ThreatFox
  • Domaines : netmansrvdns.com — VT · URLhaus · ThreatFox
  • Domaines : felixfuturenext.com — VT · URLhaus · ThreatFox
  • URLs : https://techtalkhelp.com/talk.log — URLhaus
  • URLs : http://www.rivingtonclarks.com/beautiQuewonders/banaNa.php — URLhaus
  • URLs : https://goodnfortunes.com/ucl.php — URLhaus
  • URLs : https://felixfuturenext.com/Epistemological/ — URLhaus
  • URLs : http://gomescareerplans.com/docs — URLhaus
  • URLs : https://goodnfortunes.com/b99/ — URLhaus
  • URLs : http://www.rivingtonclarks.com/banana/ — URLhaus
  • SHA256 : a3081df333ca7f18bd90d10a45125ab5011dcf9d2806feae2935f09cab07da4c — VT · MalwareBazaar
  • SHA256 : e3992f8c945b0761242377cba32d91b0a390c7cecd79478439843d93e6d2b76b — VT · MalwareBazaar
  • SHA256 : ccefbdec2718d864d9d33c743aabfcef88a8d7904d1c598bfcf15cf5f3591c88 — VT · MalwareBazaar
  • SHA256 : 569a21b519aaac8c92f653d708ab6ef34e3f38ea967f47e041d1e2425f6a4b33 — VT · MalwareBazaar
  • SHA256 : 411c0b9a2f98b927d806a685faf0c1ab1005647b4816157008892347fb88546b — VT · MalwareBazaar
  • Fichiers : icon.ico
  • Fichiers : res.ico
  • Fichiers : err.log
  • Fichiers : abc.pdf
  • Fichiers : talk.log
  • Fichiers : Visa_Details.msi
  • Fichiers : Attachment-2.xls
  • Fichiers : Imp_Details.msi
  • Fichiers : vnces.exe
  • Fichiers : bruzsvc.exe
  • Fichiers : requpap.pdb
  • Fichiers : Letter from the Ambassador - 11th Belt and Road Summit.vhdx
  • Fichiers : Official Invitation Majilis 2026 Gala Dinner.rar
  • Fichiers : Invitation 2026.url
  • Chemins : C:\users\public\music\err.log
  • Chemins : C:\programdata\talk.log

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • PapRAT (rat)
  • WmRAT (rat)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ fortinet.com — source reconnue (liste interne) (20pts)
  • ✅ 15636 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 36 IOCs dont des hashes (15pts)
  • ✅ 5/9 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 21 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : BITTER (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • a3081df333ca7f18… (sha256) → VT (21/76 détections)
  • e3992f8c945b0761… (sha256) → VT (25/76 détections)
  • ccefbdec2718d864… (sha256) → VT (27/76 détections)
  • goodnfortunes.com (domain) → VT (10/92 détections)
  • techtalkhelp.com (domain) → VT (4/92 détections)

🔗 Source originale : https://www.fortinet.com/blog/threat-research/bitter-expands-its-arsenal-with-paprat