В разгар военной эскалации между Индией и Пакистаном 7 мая 2025 года хакерская группировка Bitter APT (известная как TA397) провела целевую фишинговую атаку на сотрудников Pakistan Telecommunication Company Limited (PTCL). Эксперты EclecticIQ и Hudson Rock установили, что атака направлена на инженеров 5G, DevOps-специалистов и экспертов по спутниковой связи с целью хищения государственных и коммерческих секретов.
Описание
Ключевые детали атаки
Злоумышленники использовали скомпрометированные учетные данные почты Контртеррористического департамента Пакистана (ctd@islamabadpolice.gov.pk), полученные через вредонос StealC в августе 2024 года. Фишинговое письмо с темой "Security Brief Report" содержало файл Security Brief Report.iqy, который при открытии запускал скрипт для загрузки трояна WmRAT.
Техника исполнения:
- IQY-файл активировал макрос Excel, использующий команды CMD для:
- Создания исполняемого файла в C:\ProgramData;
- Загрузки вредоноса с домена fogomyart[.]com под видом PNG-изображения;
- Автозапуска через реестр (HKCU\Software\Microsoft\Windows\CurrentVersion\Run).
Функционал WmRAT
Троянец собирает данные системы (имя пользователя, геолокацию), делает скриншоты, загружает/скачивает файлы и выполняет команды через CMD или PowerShell. Связь с C2-сервером (tradesmarkets[.]greenadelhouse[.]com) осуществляется через HTTPS-запросы с замаскированным параметром vrocean, содержащим Base64-кодированные данные жертвы.
Индикаторы компрометации
