Fortinet · 2 novembre 2026 · Cyber & GRC
BITTER enrichit son arsenal avec PapRAT
FortiGuard Labs analyse une campagne de cyberespionnage de BITTER visant des organisations d’Asie du Sud. Elle s’appuie sur trois chaînes d’attaque et sur le cheval de Troie d’accès à distance PapRAT.
Ce qui est annoncé
FortiGuard Labs publie une analyse d’une campagne visant des organisations d’Asie du Sud sur Microsoft Windows, qu’il attribue avec un haut niveau de confiance à BITTER. Ce groupe de cyberespionnage présumé cible historiquement les secteurs gouvernemental, énergétique et de l’ingénierie. L’étude décrit notamment PapRAT, un cheval de Troie d’accès distant permettant d’exécuter des commandes, de transférer ou supprimer des fichiers, d’explorer les répertoires et les lecteurs, et de réaliser des captures d’écran. Les chercheurs ont identifié des versions en C++ et en Rust, cette dernière ajoutant notamment l’exécution de PowerShell.
Les chercheurs distinguent trois parcours d’infection. Le premier détourne ftp.exe à partir d’un fichier LNK pour lancer des scripts et installer des tâches planifiées, sans déployer d’exécutable malveillant traditionnel. Le deuxième s’appuie sur une image disque VHDX : un raccourci ouvre un tableur leurre tout en lançant un programme d’installation MSI qui déploie PapRAT. Le troisième utilise un raccourci URL et WebDAV pour récupérer un LNK, puis aboutit également à une installation MSI. Dans ce dernier cas, PapRAT télécharge aussi WmRAT, un autre implant d’accès distant.
Ce que ça change pour les entreprises
Pour les DSI et les équipes de sécurité, cette campagne souligne les limites d’une surveillance centrée uniquement sur les exécutables malveillants connus. Des outils natifs, des scripts et des tâches planifiées peuvent contribuer au maintien d’un accès persistant. L’analyse invite donc à examiner les enchaînements d’exécution suspects, l’activité des programmes d’installation et les communications sortantes vers les serveurs de commande, en complément de la détection par signatures.
La vigilance des utilisateurs reste également importante face aux raccourcis, images disque et packages MSI reçus dans des messages non sollicités. Les capacités observées exposent les postes compromis à une prise de contrôle et à la collecte de données. Le ciblage documenté demeure toutefois concentré sur l’Asie du Sud : cette publication ne permet pas de conclure à une campagne visant les entreprises françaises.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage des risques, la revue des dispositifs de surveillance et l’intégration de contrôles adaptés aux environnements concernés. Cet appui peut inclure la sécurisation des usages et la sensibilisation des équipes aux fichiers leurres et aux comportements suspects décrits.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Fortinet du 2 novembre 2026.