O grupo cibercriminoso chinês conhecido como Silver Fox foi observado utilizando novos drivers como parte de ataques do tipo BYOVD (traga seu próprio driver vulnerável, na sigla em inglês) direcionados a uma organização japonesa do setor de manufatura industrial, com o objetivo final de entregar o ValleyRAT (também conhecido como Winos 4.0) para acesso remoto persistente.
"Nesta campanha, o grupo combina o abuso de novos drivers vulneráveis, o uso recentemente observado de aplicações legítimas para sideloading de DLL (carregamento lateral de bibliotecas dinâmicas), evasão de defesas e mecanismos de recuperação em camadas para manter o ValleyRAT em execução", afirmaram os pesquisadores da Cato Networks Shani Kurtzberg, Tomer Pugach, Dr. Guy Waizel, Zohar Buber, Idan Tarab e Shani Kurtzberg em uma análise.
A cadeia de ataque começa com uma isca de phishing com tema de fatura, que usa conteúdo controlado pelos atacantes e hospedado em serviços legítimos do QQ e do Tencent Cloud para disparar uma cadeia de sideloading de DLL por meio de um arquivo ZIP, abrindo caminho para a implantação do ValleyRAT, mas não antes de utilizar a técnica BYOVD para obter acesso ao kernel e prejudicar os controles de segurança no host comprometido, visando evitar a detecção.
O arquivo ZIP contém um executável do tipo downloader que recupera os componentes da próxima etapa, necessários para o sideloading de DLL, a partir de uma infraestrutura do Tencent Cloud controlada pelos atacantes.
Embora o Silver Fox já tenha utilizado esse método anteriormente com os drivers legítimos, mas vulneráveis, "amsdk.sys" e "wsftprm.sys", a campanha mais recente marca o uso de dois outros drivers: "BootRepair.sys" e "EnPortv.sys", que não haviam sido reportados publicamente em ondas de ataques anteriores.
Especificamente, a DLL maliciosa ("PDFCORE8.dll") carregada via sideloading pelo "ConvertToPDF.exe" ou "PDFDirect.exe" embute os drivers "BootRepair.sys", "EnPortv.sys" e "wsftprm.sys", transformando o malware em uma estrutura modular de BYOVD com três drivers para evasão de defesas. Ambos os binários legítimos estão associados à Zeon Corporation.
A ideia por trás da incorporação de três drivers diferentes é garantir resiliência operacional em diferentes ambientes e transformar a implementação do BYOVD em um sistema plug-and-play, que permite aos operadores trocar os drivers e substituí-los por outras opções, mantendo intacto o restante do fluxo de trabalho.
Além disso, o malware utiliza a técnica de unhooking de NTDLL (remoção de ganchos na biblioteca NTDLL) para eliminar os ganchos in-line em modo usuário colocados por softwares de segurança de endpoint, com o objetivo de monitorar a atividade das APIs nativas do Windows.
"O malware integra BYOVD, sideloading de DLL, unhooking de NTDLL, injeção de processos, armazenamento de payload baseado no registro e dois mecanismos independentes de recuperação para prejudicar os controles de segurança e manter a execução", afirmaram os pesquisadores.
O carregador de DLL, que atua como uma estrutura de execução autossuficiente, também é responsável por disparar um script em lote do tipo watchdog (vigia) que garante a persistência por meio de uma tarefa agendada e se comunica com um servidor externo ("43.128.26[.]132") para buscar shellcode (código injetável) que é injetado em um novo processo "svchost.exe" usando uma técnica chamada sequestro de contexto de thread.
O implante resultante na fase final é o ValleyRAT, uma variante do Gh0st RAT (Trojan de Acesso Remoto) que oferece funcionalidades de acesso remoto, incluindo comunicação de comando e controle (C2), execução de tarefas e capacidades adicionais pós-comprometimento.
Um aspecto definidor da sequência de ataque é seu design de watchdog duplo, que garante a recuperação da execução. Ele combina uma rotina interna que monitora o payload injetado com o já mencionado script watchdog externo, que monitora o carregador por trás da criação desse payload.
Essa abordagem de dois gumes significa que encerrar apenas um componente pode não neutralizar completamente a intrusão. Se o payload injetado for encerrado, ele é recriado pelo carregador. Se o próprio carregador for encerrado, o script watchdog entra em ação para relançá-lo.
"Esse design em camadas aumenta a resiliência, pois os defensores precisam interromper ambos os componentes e impedir que qualquer um deles restaure o outro estágio", disse a Cato.
"A arquitetura de recuperação também reforça a modularidade observada em toda a amostra. A implantação de drivers, a terminação de processos de segurança, a injeção, o monitoramento de payloads e a recuperação do carregador são implementados como componentes coordenados, em vez de técnicas isoladas."
A divulgação ocorre enquanto o Silver Fox continua a refinar e expandir ativamente seu arsenal com novas ferramentas, como o Atlas RAT (também conhecido como AtlasCross RAT), RomulusLoader e SilentRunLoader, mesmo com o grupo utilizando iscas com tema fiscal para entregar o Gh0st RAT e o DCRat.
Em um relatório publicado nesta semana, uma empresa sul-coreana de cibersegurança afirmou que sua retrobusca de 180 dias no repositório do VirusTotal identificou 146 amostras únicas do Atlas RAT, abrangendo seis builds PDB (arquivos de banco de dados de programa) versionados, dois nomes de usuário de ambiente de desenvolvimento e 27 linhagens heurísticas.
"Observa-se que tal escala e diversidade são inconsistentes com a gestão por um único operador, levantando a possibilidade de que o malware tenha sido comercialmente desenvolvido ou distribuído de forma privada", disse a empresa. "No entanto, a ligação com o Silver Fox foi sugerida apenas com base em evidências circunstanciais, e não há provas suficientes para determinar conclusivamente que se trata do mesmo operador."
