Fortinet FortiGuard Labs 於 11 月 2 日發布研究，指出其數月來追蹤一起鎖定南亞組織的攻擊活動，使用 PowerShell 腳本與自訂遠端存取木馬 PapRAT 建立持續存取，並以高信心歸因於 BITTER [1]。The Hacker News 報導指出，該活動使用濫用 ftp.exe 的 LNK 檔、內含 LNK 的 VHDX 磁碟映像，以及透過 WebDAV 取得 LNK 的 URL 捷徑三條感染鏈，PapRAT 具 C++ 與 Rust 版本，可執行指令、上傳下載檔案與擷取螢幕畫面 [1][2]。組織應對來路不明的 LNK、URL 捷徑、磁碟映像與 MSI 安裝檔保持警覺，並監控腳本工具、排程工作與安裝程式的異常行為 [2]。
中進行中研究者揭露
BITTER 間諜組織以三條感染鏈部署新型 PapRAT 後門，鎖定南亞組織
閱讀約 1 分鐘
- 揭露
- 2026年11月2日
- 發布
- 2026年11月10日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- Windows
- 初始入侵方式
- 未公開
- 影響
- 情資竊取
- 攻擊者類型
- 未知
- 動機
- 情報蒐集
- 程式語言 / 套件生態
- Shell / PowerShellRust（crates.io）C / C++
本頁內容
30 秒摘要
事件時間軸
技術細節
發生什麼
Fortinet FortiGuard Labs 表示，BITTER 是自 2013 年起活動、疑似來自南亞的網路間諜組織，近數月以 PowerShell 腳本與其命名為 PapRAT 的自訂 RAT 鎖定南亞組織 [1]。
攻擊手法
第一條感染鏈以 LNK 檔濫用 Windows 內建 ftp.exe 執行腳本並建立排程工作；第二條以 VHDX 映像中的 LNK 開啟誘餌試算表並在背景執行 MSI 安裝 PapRAT；第三條以 URL 捷徑經 WebDAV 取得 LNK，再由 MSI 部署 PapRAT 並投放 WmRAT [1][2]。
惡意程式功能
The Hacker News 報導，PapRAT 支援遠端 shell、目錄列舉、檔案刪除與執行、磁碟列舉、螢幕擷取及檔案上傳下載等八項指令，Rust 版本另增 PowerShell 執行等指令 [2]。
修復指引
參考來源
研究機構1
- [1]
“Over the past several months, FortiGuard Labs has tracked a campaign targeting South Asian organizations that uses PowerShell scripts and a custom remote access trojan (RAT), which we call PapRAT, to establish persistent access to victim environments.”
媒體報導1
- [2]
“Organizations should treat unexpected LNK files, URL shortcuts, disk images, and MSI packages with caution, particularly when delivered through unsolicited messages.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。