Группа TA397, также известная как Bitter, уже восемь лет ведет активную шпионскую деятельность, нацеленную на правительственные, дипломатические и оборонные организации в Европе и Азии. Согласно исследованию Proofpoint и Threatray, высока вероятность, что группу поддерживает индийское государство, а ее деятельность направлена на сбор разведданных в интересах Индии.
Описание
A397 использует фишинговые письма с вредоносными вложениями, маскируясь под официальные структуры Китая, Пакистана, Мадагаскара и Маврикия. В последних кампаниях группа экспериментировала с новыми методами доставки вредоносного кода, включая уязвимость GrimResource (CVE-2024-43572) и нестандартные форматы файлов, такие как Microsoft Search Connector (MSC). Однако ключевой элемент их атак остается неизменным - создание запланированных задач (scheduled tasks) для регулярного взаимодействия с серверами управления.
Анализ инфраструктуры TA397 показал, что группа работает в стандартные рабочие часы по индийскому времени (IST), что подтверждает ее связь с Южной Азией. Кроме того, исследователи обнаружили документы, предположительно украденные у жертв, включая военные и налоговые файлы из Бангладеш.
Во второй части исследования, опубликованной на сайте Threatray, подробно разбирается арсенал вредоносных программ TA397, включая такие инструменты, как KugelBlitz, Demon (Havoc C2), wmRAT и MiyaRAT. Также отмечается возможная связь группы с другими индийскими хакерскими объединениями, такими как Mysterious Elephant (APT-K-47) и Confucius, через использование общего бэкдора ORPCBackdoor.
Эксперты подчеркивают, что TA397 остается активной и опасной угрозой, несмотря на отсутствие сложных техник атаки. Их методы могут быть предсказуемыми, но высокая частота кампаний и целевой характер атак делают группу серьезной проблемой для организаций, связанных с Китаем, Пакистаном и другими соседними с Индией странами.
Индикаторы компрометации
