Der Infektionsweg beginnt mit einem Inno-Setup-Installer, der eine DLL-Sideloading-Kette über eine signierte Tencent-Programmdatei anstößt. Über Zwischenstufen wird zunächst der verwundbare Treiber “ardrv.sys” eingebracht, bevor am Ende Spark RAT startet — ein quelloffener, in Go geschriebener plattformübergreifender Fernzugriffstrojaner, der die vollständige Fernsteuerung befallener Geräte erlaubt.
Der DLL-Loader prüft zunächst, ob er in einer Analyseumgebung läuft. Dazu misst er Zeitabstände und erkennt so Umgebungen, die Wartezeiten verkürzen oder manipulieren; liegt die verstrichene Zeit außerhalb des erwarteten Bereichs, bricht die Ausführung ab. Anschließend durchsucht der Loader die laufenden Prozesse nach “HipsTray.exe”, einer Komponente der chinesischen Endpunktschutzsoftware Huorong Internet Security. Wird sie gefunden, versucht die Schadsoftware, die Rechte des Sicherheitsprodukts zu beschneiden.
In der nächsten Stufe entschlüsselt der Schadcode Shellcode, der in einer PNG-Datei aus dem Archiv versteckt ist, und startet damit einen zweiten Lader. Dieser prüft, ob er bereits mit SYSTEM-Rechten läuft. “Auf Basis dieser Prüfungen wählt die Payload einen von zwei Ausführungsmodi”, so Acronis. Läuft sie bereits als SYSTEM, geht sie direkt in den Injektionsmodus über und überspringt die Einrichtung der Persistenz; andernfalls wechselt sie in den Einrichtungsmodus, sorgt zuerst für dauerhafte Verankerung und führt danach die nächste Stufe aus.
Im Injektionsmodus entschlüsselt die Schadsoftware Shellcode aus einer weiteren PNG-Datei und schleust ihn in den Prozess “vssvc.exe” ein. Damit die Payload aktiv bleibt, überwacht sie diese Instanz und injiziert den Code erneut, sobald der Prozess beendet wird oder mit neuer Prozess-ID neu startet. Im Einrichtungsmodus prüft die Malware zuvor eine fest einprogrammierte Liste von Prozessen, die zu Qihoo 360 gehören. Findet sie keinen davon, richtet sie eine Persistenz über einen Windows-Dienst ein, der die sideloadende Programmdatei erneut startet und den gesamten Ablauf von Neuem anstößt.
Parallel wird eine vierte PNG-Datei verarbeitet: Der daraus extrahierte und entschlüsselte Shellcode landet im Prozess “ctfmon.exe” und führt schließlich Spark RAT aus.
Die BYOVD-Routine verweist zudem auf weitere Treiber, darunter solche aus TrueSight und dem Zemana Anti-Malware SDK. Beide wurden zuvor vom Bedrohungsakteur Silver Fox genutzt, bevor dieser Winos 4.0 (auch bekannt als ValleyRAT) nachlud; auch das gezielte Vorgehen gegen Huorong-Prozesse wurde bei Silver-Fox-Angriffen wiederholt beobachtet. Hinzu kommen Überschneidungen bei den Zielen, DLL-Sideloading über eine signierte Anwendung, mehrstufige Auslieferung, Persistenz über Windows-Dienste und geplante Aufgaben sowie Ausnahmen in Microsoft Defender.
Für eine belastbare Zuordnung reicht das Acronis zufolge dennoch nicht: Es fehlen gemeinsame Infrastruktur, Code-Wiederverwendung auf Funktionsebene und übereinstimmende Zertifikate. Auch die Wahl der Schadsoftware unterscheidet sich, da Silver Fox bislang nicht mit dem Einsatz eines quelloffenen RAT in Verbindung gebracht wurde. “Dieser Unterschied schließt eine Verbindung nicht aus, da Betreiber ihre Payloads wechseln können, aber er entfernt eines der stärkeren Bindeglieder früherer Zuordnungen”, so das Unternehmen. Die Spark-RAT-Konfiguration enthalte einen chinesischsprachigen Wert, und die Malware ziele auf mehrere Sicherheitsprodukte, die in chinesischsprachigen Umgebungen verbreitet sind. Acronis führt die Aktivität daher als nicht zugeordnetes Cluster mit möglichen chinesischsprachigen Entwicklungs- oder Einsatzbezügen — eine Einschätzung mit geringer Zuversicht, die sich bei neuen Erkenntnissen ändern kann.