Bitter Group Enables New Trojan Horse MiyaRat, Domestic Users Become Primary Targets. Bitter has been trying a variety of no-kill methods this year: loading the havoc framework through powershell in June, and directly distributing the steganography plugin that was in use in 2018 in July, with less than ideal results, and ultimately distributing a brand new trojan horse, MiyaRat, in September. it was still was successfully captured by us.

Bitter 在今年一直在尝试各种免杀方法：6月份通过 powershell 加载 havoc 框架、7 月份直接下发 2018 年就在使用的窃密插件，效果都不太理想，最终在 9 月份下发了全新的特马 MiyaRat 还是被我们成功捕获。

奇安信威胁情报中心红雨滴团队一直以来都在对全球各大APT组织进行追踪，在对南亚相关APT组织进行追踪时我们发现蔓灵花组织近期非常活跃，本文内容仅是对过去一段时间内蔓灵花组织的攻击手法做一个分享，揭示其攻击手段、目标和动机，为相关机构提供有效的安全建议。 自2021年3月《“Operation Magichm”浅谈蔓灵花组织的CHM文件投放与后续操作》一文发布以来，蔓灵花组织一直都在吃老本，鱼叉式钓鱼邮件投递恶意chm文件屡试不爽。而在今年，蔓灵花还是以鱼叉式钓鱼邮件投递恶意压缩包，压缩包里面通常为恶意chm文件，有时也会在压缩包里面搭载带漏洞的office文件。

The RedDrip Team of QiAnXin Threat Intelligence Center has been tracking major APT group around the world. When tracking related APT group in South Asia, we found that the BITTER group has been very active recently. The content of this article is only a review of the past period. Let’s share the attack methods of the BITTER group , reveal its attack methods, goals and motivations, and provide effective security suggestions for relevant organizations.Since the publication of the article ""Operation Magichm" briefly discusses the CHM file delivery and follow-up operations of the Manlinghua organization " in March 2021 , the Manlinghua organization has been resting on its laurels, delivering malicious chm files through spear phishing emails.

近日，奇安信威胁情报中心在日常威胁狩猎中捕获蔓灵花（BITTER）组织在2021年2月分到9月分的数百个攻击样本。在攻击活动中，攻击者主要以军事、能源、财务等为主题，通过向受害者发送钓鱼邮件，诱使受害者打开包含恶意CHM或者RTF的RAR压缩包附件，执行内置的恶意脚本，释放其常用的.NET远控程序。

蔓灵花（BITTER）是疑似具有南亚背景的APT组织，该组织长期针对中国，巴基斯坦等国家进行攻击活动，主要针对政府、军工业、电力、核能等单位进行定向攻击，窃取敏感资料。 近日，奇安信威胁情报中心在日常监控过程中发现蔓灵花APT组织开始通过邮箱投递包含有恶意脚本Chm文件的RAR压缩包，对国内外相关单位发起定向攻击，经过遥测此类的攻击行动已经持续两年，我们将其成为operation magichm。 经过溯源，本次攻击活动中蔓灵花采用了与以往截然不同的攻击链，使用.net远控作为节点执行命令或者下发插件，并下发了一个之前从未被披露过的新模块。

蔓灵花（BITTER）是疑似具有南亚背景的APT组织，该组织长期针对中国，巴基斯坦等国家进行攻击活动，主要针对政府、军工业、电力、核能等单位进行定向攻击，窃取敏感资料。 近日，搭载了奇安信威胁情报中心自主研发反病毒引擎QOWL的奇安信安全终端“天擎”成功阻断蔓灵花组织针对国内企业的定向攻击活动，在此次攻击活动中，该组织依旧使用了其常用的攻击手法，企图释放执行其常用的下载者进行恶意软件部署，但被QOWL杀毒引擎成功拦截。

Recently, QiAnXin Threat Intelligence Center found a series of targeted attacks against Pakistan targets. Attacker exploited one vulnerability (CVE-2017-12824) of InPage to craft bait documents (.inp). InPage is a word processing software designed specifically for Urdu speakers (official language in Pakistan). In addition, Office documents with CVE-2018-0798 vulnerability were also used in the attack. Kaspersky disclosed one target attack in which InPage vulnerability was exploited in November 2016[6] . However, first attack by using such software vulnerability can be traced back to June 2016[14]

近期，奇安信威胁情报中心监控到一系列针对巴基斯坦地区的定向攻击活动，而相关的恶意程序主要利用包含了InPage文字处理软件漏洞CVE-2017-12824的诱饵文档（.inp）进行投递，除此之外，攻击活动中还使用了Office CVE-2018-0798漏洞利用文档。InPage是一个专门针对乌尔都语使用者（巴基斯坦国语）设计的文字处理软件，卡巴斯基曾在2016年11月首次曝光了利用该软件漏洞进行定向攻击的案例[6]，而利用该文字处理软件漏洞的野外攻击最早可以追溯到2016年6月。

近期，安全监测与响应中心协助用户处理了多起非常有针对性的邮件钓鱼攻击事件，发现了客户邮件系统中大量被投递的钓鱼邮件，被攻击的企业局限于某个重要敏感的行业。奇安信威胁情报中心与安全监测与响应中心在本文中对本次的钓鱼邮件攻击活动的过程与细节进行揭露，希望企业组织能够引起重视采取必要的应对措施。