C
月内に
南アジアを標的とするサイバー espionage グループ「Bitter」が、新しいバックドア「PapRAT」を用いた攻撃キャンペーンを展開しています
📌 一言でいうと
南アジアを標的とするサイバー espionage グループ「Bitter」が、新しいバックドア「PapRAT」を用いた攻撃キャンペーンを展開しています。PapRATはC++とRustの2つの実装があり、コマンド実行やファイル操作、スクリーンショット撮影などの機能を備えています。攻撃には、Windowsショートカットファイル（LNK）やVHDXディスクイメージ、WebDAV経由のURLショートカットなど、3つの異なる感染経路が利用されています。
🔍該当判定
- 南アジア地域の組織・企業として事業を展開している
- 不審なメールに添付された「.LNK（ショートカットファイル）」や「.VHDX（仮想ディスクイメージ）」を開いた
- 社内PCで、身に覚えのない「.MSI（インストーラー）」が自動的に実行された
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なショートカットファイル（.LNK）やディスクイメージ（.VHDX）を開かないこと。WebDAV経由の不審なファイルダウンロードを制限し、エンドポイントでの不審なプロセス（ftp.exeやPowerShellの異常な挙動）を監視することを推奨します。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】不審なファイルやショートカットの開封禁止について
お疲れさまです。情報システム担当です。
現在、巧妙に偽装されたショートカットファイルやディスクイメージファイルを通じて、ウイルスに感染させる攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのない送信元から届いたメールの添付ファイル（特に.LNKや.VHDXなどの形式）を開かないでください。
2. 不審なリンクをクリックしてファイルをダウンロードしないようご注意ください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
現在、巧妙に偽装されたショートカットファイルやディスクイメージファイルを通じて、ウイルスに感染させる攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのない送信元から届いたメールの添付ファイル（特に.LNKや.VHDXなどの形式）を開かないでください。
2. 不審なリンクをクリックしてファイルをダウンロードしないようご注意ください。
対応期限: 本日中
Subject: [Security Alert] Warning Against Opening Suspicious Files and Shortcuts
Dear employees,
We have observed cyber attacks that use disguised shortcut files and disk images to infect systems with malware.
Requested Actions:
1. Do not open attachments (especially .LNK or .VHDX files) from unknown or untrusted senders.
2. Avoid clicking suspicious links that prompt you to download files.
Deadline: Immediate
Dear employees,
We have observed cyber attacks that use disguised shortcut files and disk images to infect systems with malware.
Requested Actions:
1. Do not open attachments (especially .LNK or .VHDX files) from unknown or untrusted senders.
2. Avoid clicking suspicious links that prompt you to download files.
Deadline: Immediate
件名: 【共有】APTグループ「Bitter」によるPapRATバックドアの展開について
お疲れさまです。脅威アクター「Bitter」による新キャンペーンに関する情報共有です。
■ 概要
南アジアを標的としたサイバー espionage グループ Bitter が、新種の RAT である「PapRAT」を配備しています。C++およびRust実装が存在し、コマンド実行、ファイル操作、スクリーンショット取得などの機能を持ちます。感染経路として、ftp.exeを悪用するLNKファイル、VHDXイメージ、WebDAV経由のURLショートカットが利用されています。
■ 影響範囲
- Windows OS 環境
- 南アジア地域の組織（主標的）
■ 対応手順
1. エンドポイントにおいて、ftp.exe や PowerShell による不審な外部通信およびタスクスケジューラの登録を監視してください。
2. WebDAV 経由の不審なファイル取得を制限するネットワーク制御を検討してください。
3. LNKファイルやVHDXファイルを用いた不審な挙動の検知ルールを EDR 等に適用してください。
■ 参考情報
- Fortinet FortiGuard Labs Report
対応優先度: 中
対応期限: 随時
お疲れさまです。脅威アクター「Bitter」による新キャンペーンに関する情報共有です。
■ 概要
南アジアを標的としたサイバー espionage グループ Bitter が、新種の RAT である「PapRAT」を配備しています。C++およびRust実装が存在し、コマンド実行、ファイル操作、スクリーンショット取得などの機能を持ちます。感染経路として、ftp.exeを悪用するLNKファイル、VHDXイメージ、WebDAV経由のURLショートカットが利用されています。
■ 影響範囲
- Windows OS 環境
- 南アジア地域の組織（主標的）
■ 対応手順
1. エンドポイントにおいて、ftp.exe や PowerShell による不審な外部通信およびタスクスケジューラの登録を監視してください。
2. WebDAV 経由の不審なファイル取得を制限するネットワーク制御を検討してください。
3. LNKファイルやVHDXファイルを用いた不審な挙動の検知ルールを EDR 等に適用してください。
■ 参考情報
- Fortinet FortiGuard Labs Report
対応優先度: 中
対応期限: 随時
Subject: [Threat Intel] Deployment of PapRAT Backdoor by APT Group 'Bitter'
Dear Security Team,
This is a technical update regarding a new campaign by the threat actor 'Bitter'.
■ Overview
The group is deploying a new remote access trojan called 'PapRAT' (C++ and Rust versions). It provides capabilities for command execution, file exfiltration, and screenshot capture. The infection vectors include LNK files abusing ftp.exe, VHDX disk images, and URL shortcuts via WebDAV.
■ Scope
- Windows environments
- Organizations in South Asia (primary targets)
■ Mitigation Steps
1. Monitor for suspicious outbound traffic and scheduled task creation initiated by ftp.exe or PowerShell.
2. Evaluate network restrictions on suspicious file downloads via WebDAV.
3. Implement EDR detection rules for anomalous LNK and VHDX file execution patterns.
■ Reference
- Fortinet FortiGuard Labs Report
Priority: Medium
Deadline: Ongoing
Dear Security Team,
This is a technical update regarding a new campaign by the threat actor 'Bitter'.
■ Overview
The group is deploying a new remote access trojan called 'PapRAT' (C++ and Rust versions). It provides capabilities for command execution, file exfiltration, and screenshot capture. The infection vectors include LNK files abusing ftp.exe, VHDX disk images, and URL shortcuts via WebDAV.
■ Scope
- Windows environments
- Organizations in South Asia (primary targets)
■ Mitigation Steps
1. Monitor for suspicious outbound traffic and scheduled task creation initiated by ftp.exe or PowerShell.
2. Evaluate network restrictions on suspicious file downloads via WebDAV.
3. Implement EDR detection rules for anomalous LNK and VHDX file execution patterns.
■ Reference
- Fortinet FortiGuard Labs Report
Priority: Medium
Deadline: Ongoing