O grupo de cibercrime chinês conhecido como Silver Fox foi flagrado usando novos drivers em ataques do tipo bring your own vulnerable driver (BYOVD) contra uma organização japonesa do setor de manufatura industrial, com o objetivo de entregar o ValleyRAT, também conhecido como Winos 4.0, e garantir acesso remoto persistente.
“Nesta campanha, o grupo combina o novo abuso de drivers vulneráveis, o abuso recém-observado de aplicativos legítimos para DLL sideloading, evasão de defesa e mecanismos de recuperação em camadas para manter o ValleyRAT em execução”, afirmaram os pesquisadores da Cato Networks Shani Kurtzberg, Tomer Pugach, Dr.
Guy Waizel, Zohar Buber, Idan Tarab e Shani Kurtzberg em uma análise.
A cadeia de ataque começa com uma isca de phishing com tema de fatura, que usa conteúdo controlado pelos invasores e hospedado em serviços legítimos da QQ e da Tencent Cloud para acionar uma sequência de DLL sideloading por meio de um arquivo ZIP.
Esse arquivo abre caminho para a implantação do ValleyRAT, mas só depois de explorar a técnica BYOVD para obter acesso ao kernel e comprometer os controles de segurança no host invadido, evitando a detecção.
O arquivo ZIP contém um executável downloader que busca, em uma infraestrutura da Tencent Cloud controlada pelos invasores, os componentes da próxima etapa necessários para o DLL sideloading.
Embora o Silver Fox já tenha explorado esse método com os drivers legítimos, porém vulneráveis, “amsdk.sys” e “wsftprm.sys”, a campanha mais recente marca o uso de outros dois drivers, “BootRepair.sys” e “EnPortv.sys”, que não haviam sido relatados publicamente em conexão com ondas anteriores de ataque.
Especificamente, a DLL maliciosa “PDFCORE8.dll”, carregada por sideloading por meio de “ConvertToPDF.exe” ou “PDFDirect.exe”, incorpora “BootRepair.sys”, “EnPortv.sys” e “wsftprm.sys”, transformando o malware em uma estrutura modular BYOVD com três drivers para evasão de defesa.
Os dois binários legítimos estão associados à Zeon Corporation.
A ideia de incorporar três drivers diferentes é garantir resiliência operacional em diferentes ambientes e transformar a implementação BYOVD em um sistema plug-and-play, permitindo que os operadores troquem os drivers e os substituam por outras opções sem alterar o restante do fluxo.
Além disso, o malware usa NTDLL unhooking para remover ganchos inline em modo de usuário inseridos por softwares de segurança de endpoint para monitorar a atividade nativa da API do Windows.
“O malware integra Bring Your Own Vulnerable Driver (BYOVD), DLL sideloading, NTDLL unhooking, injeção de processos, armazenamento de payload baseado em registro e dois mecanismos independentes de recuperação para prejudicar os controles de segurança e manter a execução”, disseram os pesquisadores.
O carregador da DLL, que atua como uma estrutura de execução autônoma, também é responsável por acionar um script em lote watchdog que garante a persistência por meio de uma tarefa agendada e se comunica com um servidor externo (“43.128.26[.]132”) para buscar shellcode, que é injetado em um novo processo “svchost.exe” usando uma técnica chamada thread-context hijacking.
O implant final resultante é o ValleyRAT, uma variante do Gh0st RAT que oferece funcionalidades de acesso remoto, incluindo comunicação C2, execução de tarefas e recursos adicionais após o comprometimento.
Um aspecto marcante da sequência de ataque é o design duplo de watchdog, que garante a recuperação da execução.
Ele combina uma rotina interna que monitora o payload injetado com o script watchdog externo mencionado anteriormente, que monitora o carregador responsável pela criação desse payload.
Essa abordagem em duas frentes significa que encerrar apenas um componente pode não neutralizar completamente a intrusão.
Se o payload injetado sair, ele é recriado pelo carregador.
Se o próprio carregador for encerrado, o script watchdog entra em ação e o reinicia.
“Esse design em camadas aumenta a resiliência porque os defensores precisam interromper ambos os componentes e impedir que qualquer um deles restaure a outra etapa”, afirmou a Cato.
“A arquitetura de recuperação também reforça a modularidade observada ao longo da amostra.
A implantação de drivers, a finalização de processos de segurança, a injeção, o monitoramento do payload e a recuperação do carregador são implementados como componentes coordenados, e não como técnicas isoladas.”
A divulgação ocorre enquanto o Silver Fox continua refinando e ampliando ativamente seu arsenal com novas ferramentas, como Atlas RAT, também conhecido como AtlasCross RAT, RomulusLoader e SilentRunLoader, mesmo ao usar iscas temáticas de impostos para entregar Gh0st RAT e DCRat.
Em um relatório publicado nesta semana, uma empresa sul-coreana de cibersegurança informou que sua retrocaça de 180 dias no acervo do VirusTotal identificou 146 amostras exclusivas do Atlas RAT, abrangendo seis compilações PDB versionadas, dois nomes de usuário de ambientes de desenvolvimento e 27 linhagens heurísticas.
“Observa-se que essa escala e diversidade são incompatíveis com a gestão por um único operador, o que levanta a possibilidade de que o malware tenha sido desenvolvido comercialmente ou distribuído de forma privada”, disse a empresa.
“No entanto, a ligação com o Silver Fox foi apenas sugerida com base em evidências circunstanciais, e não há provas suficientes para determinar de forma conclusiva que se trata do mesmo operador.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...