Silver Fox greift japanischen Industriebetrieb mit neuer BYOVD-Kette und ValleyRAT an

Nach der Analyse von Cato Networks beginnt die Angriffskette mit einem ZIP-Archiv, das eine Downloader-Datei enthält. Diese lädt die Komponenten der nächsten Stufe von einer von den Angreifern kontrollierten Tencent-Cloud-Infrastruktur nach, die für das DLL-Sideloading benötigt werden.

Silver Fox hatte für diese Methode zuvor bereits die legitimen, aber verwundbaren Treiber „amsdk.sys“ und „wsftprm.sys“ genutzt. In der nun beobachteten Kampagne kommen laut Cato Networks zusätzlich „BootRepair.sys“ und „EnPortv.sys“ zum Einsatz. Diese beiden Treiber seien bislang nicht öffentlich mit früheren Angriffswellen in Verbindung gebracht worden.

Konkret wird die schädliche DLL „PDFCORE8.dll“ über „ConvertToPDF.exe“ oder „PDFDirect.exe“ per Sideloading geladen. In der DLL sind „BootRepair.sys“, „EnPortv.sys“ und „wsftprm.sys“ eingebettet. Damit werde die Malware zu einem modularen Drei-Treiber-BYOVD-Framework zur Umgehung von Sicherheitsmaßnahmen. Beide legitimen Binärdateien werden Zeon Corporation zugeordnet.

Laut den Forschern soll der Einsatz von drei unterschiedlichen Treibern die Einsatzfähigkeit in verschiedenen Umgebungen sichern. Zugleich werde die BYOVD-Implementierung damit zu einem Stecksystem, bei dem die Betreiber Treiber austauschen können, ohne den restlichen Ablauf zu verändern.

Zur Abwehrumgehung setzt die Malware außerdem auf NTDLL-Unhooking. Dabei werden im Benutzermodus gesetzte Inline-Hooks entfernt, die Endpunktschutzsoftware zur Überwachung nativer Windows-API-Aktivitäten nutzt. Cato Networks nennt darüber hinaus BYOVD, DLL-Sideloading, NTDLL-Unhooking, Prozessinjektion, Registry-basierte Speicherung der Nutzlast sowie zwei unabhängige Wiederherstellungsmechanismen als Bestandteile der Kette.

Der DLL-Loader fungiert dabei als in sich geschlossenes Ausführungs-Framework. Er startet auch ein Watchdog-Batch-Skript, das über eine geplante Aufgabe für Persistenz sorgt. Zudem kommuniziert der Loader mit dem externen Server „43.128.26[.]132“, um Shellcode abzurufen, der per Thread-Context-Hijacking in einen neuen „svchost.exe“-Prozess injiziert wird.

Als Implantat der letzten Stufe wird ValleyRAT installiert, eine Variante von Gh0st RAT. Die Schadsoftware bietet Fernzugriff, darunter Command-and-Control-Kommunikation, das Ausführen von Aufgaben und weitere Fähigkeiten nach einer Kompromittierung.

Ein prägendes Merkmal der Angriffskette ist laut Cato Networks das doppelte Watchdog-Design zur Wiederherstellung der Ausführung. Eine interne Routine überwacht die injizierte Nutzlast, während das externe Watchdog-Skript den Loader überwacht, der diese Nutzlast erzeugt. Wird die injizierte Nutzlast beendet, stellt der Loader sie wieder her. Wird der Loader selbst beendet, startet ihn das Skript erneut.

Cato Networks zufolge erhöht dieses gestaffelte Design die Widerstandsfähigkeit, weil Verteidiger beide Komponenten unterbrechen und verhindern müssen, dass eine Stufe die andere wiederherstellt. Die Forscher sehen darin zugleich ein weiteres Beispiel für die modulare Bauweise der Malware, bei der Treiberbereitstellung, Beenden von Sicherheitsprozessen, Injektion, Nutzlastüberwachung und Wiederherstellung des Loaders als abgestimmte Komponenten umgesetzt sind.

Die Veröffentlichung fällt in eine Phase, in der Silver Fox sein Arsenal laut Quelle weiter ausbaut. Genannt werden unter anderem Atlas RAT, auch bekannt als AtlasCross RAT, RomulusLoader und SilentRunLoader. Zudem setzt die Gruppe demnach weiterhin auf steuerbezogene Köder zur Auslieferung von Gh0st RAT und DCRat.

In einem in dieser Woche veröffentlichten Bericht erklärte ein südkoreanisches Cybersicherheitsunternehmen, eine 180-tägige Retrojagd im VirusTotal-Bestand habe 146 einzigartige Atlas-RAT-Proben identifiziert. Diese verteilten sich auf sechs versionierte PDB-Builds, zwei Benutzernamen aus Entwicklungsumgebungen und 27 heuristische Abstammungslinien. Das Unternehmen betonte jedoch, dieses Ausmaß und diese Vielfalt sprächen gegen die Steuerung durch nur einen einzelnen Akteur. Die Verbindung zu Silver Fox sei bisher nur auf Grundlage von Indizien vorgeschlagen worden; für eine abschließende Gleichsetzung fehle es an ausreichenden Belegen.