Indivíduos e organizações no Camboja se tornaram alvo de uma nova campanha que distribui um trojan de acesso remoto de código aberto, ou RAT, chamado Spark RAT.
"As amostras empregam diferentes temas de isca, o que sugere um esforço para atrair uma ampla variedade de possíveis vítimas. Entre eles estão comunicados do governo, materiais de saúde pública, conteúdos relacionados ao mercado imobiliário e outros tópicos", afirmaram os pesquisadores Darrel Virtusio e Subhajeet Singha, da Acronis Threat Research Unit (TRU), em uma análise publicada na quarta-feira.
A operação em múltiplas etapas chama atenção pelo uso da técnica bring your own vulnerable driver, ou BYOVD, para carregar um driver legítimo, porém vulnerável, associado ao OPSWAT AppRemover ("ardrv.sys"), com o objetivo de elevar privilégios e neutralizar softwares de segurança.
As cadeias de ataque provavelmente usam e-mails de phishing direcionados para distribuir arquivos compactados que contêm um executável do Inno Setup e induzir os destinatários a executá-lo com iscas de vários tipos, incluindo avisos do governo cambojano, anúncios de saúde pública, registros de exames odontológicos, documentos imobiliários e ofertas promocionais.
A Acronis informou ter identificado diversos artefatos maliciosos entre o fim de junho e o início de agosto de 2026, embora ainda não esteja claro se a campanha continua ativa.
O instalador do Inno Setup foi projetado para acionar uma cadeia de DLL sideloading usando um executável assinado da Tencent, que então entrega payloads intermediários responsáveis por implantar o vulnerável "ardrv.sys" e, em seguida, iniciar o payload do Spark RAT. O Spark RAT é um RAT multiplataforma, em Go e de código aberto, que permite o controle remoto de dispositivos comprometidos.
O carregador de DLL também realiza uma verificação anti-sandbox baseada em tempo para detectar ambientes que reduzem ou manipulam atrasos de espera e encerra a execução se o tempo decorrido ficar fora da faixa esperada. Além disso, ele examina processos em execução em busca de componentes relacionados ao Huorong Internet Security ("HipsTray.exe"), um programa chinês de segurança para endpoint.
Se o processo estiver presente, o carregador tenta enfraquecer os privilégios do produto de segurança. Na etapa seguinte, ele descriptografa shellcode oculto dentro de um arquivo PNG presente no arquivo compactado para executar um segundo estágio, que verifica se está sendo executado com privilégios SYSTEM.
"Com base nessas verificações, o payload seleciona um de dois modos de execução", disse a Acronis. "Se já estiver em execução como SYSTEM, ele segue diretamente para o modo de injeção, ignorando a configuração de persistência e executando a próxima etapa. Caso contrário, entra no modo de configuração, em que estabelece persistência primeiro e depois executa a próxima etapa."
O modo de injeção funciona ao analisar e descriptografar shellcode incorporado em outro arquivo PNG do arquivo compactado e, em seguida, injetá-lo em "vssvc.exe" e executá-lo no contexto do processo de destino. Para garantir que o payload injetado permaneça em execução, o malware monitora a instância de "vssvc.exe" e reinjeta o shellcode se o processo for encerrado ou reiniciado com um novo PID.
No modo de configuração, o malware lê e descriptografa o shellcode do mesmo arquivo e, depois disso, verifica uma lista de processos codificados em relação a componentes associados ao Qihoo 360. Se nenhum deles for encontrado, ele configura um mecanismo de persistência baseado em um serviço do Windows para iniciar o binário que faz o DLL sideloading e reiniciar todo o ciclo novamente. Após estabelecer persistência no host, ele injeta o shellcode em "vssvc.exe" como antes.
O payload executa a seguinte sequência de ações:
• tenta aplicar patch em funcionalidades relacionadas a AMSI e ETW
• configura persistência usando uma tarefa agendada
• instala o driver ardrv.sys, vulnerável ao
CVE-2026-36425
, para encerrar processos relacionados à segurança, como Microsoft Defender, Huorong Internet Security e Tencent PC Manager
• lê e descriptografa outro payload incorporado a partir de um terceiro arquivo PNG para realizar o encerramento, em modo usuário, de processos de segurança codificados
Ao mesmo tempo, um quarto arquivo de payload baseado em PNG é processado para extrair e descriptografar shellcode, que é injetado em "ctfmon.exe", levando, por fim, à execução do Spark RAT.
Curiosamente, a rotina BYOVD faz referência a vários outros drivers, incluindo componentes do TrueSight e do Zemana Anti-Malware SDK, ambos já usados pelo threat actor Silver Fox antes da implantação do Winos 4.0, também conhecido como ValleyRAT. Além disso, o direcionamento a processos de segurança da Huorong já havia sido observado repetidamente em ataques anteriores ligados ao Silver Fox.
Outros indícios semelhantes ao Silver Fox incluem sobreposição de alvos, uso de DLL sideloading por meio de um aplicativo assinado, entrega de payloads em múltiplas etapas, persistência por meio de serviços e tarefas agendadas do Windows e exclusões no Microsoft Defender. Apesar dessas semelhanças, ainda não há evidências suficientes para atribuir de forma conclusiva a atividade mais recente ao threat actor.
Essa avaliação, segundo a Acronis, se baseia na ausência de infraestrutura compartilhada, reutilização de código em nível de função e certificados correspondentes. Outro diferencial importante é a escolha do próprio malware. Embora as campanhas do Silver Fox sejam conhecidas por explorar ValleyRAT e outros payloads personalizados, não há atribuição desse grupo ao uso de um RAT de código aberto.
"Essa diferença não descarta uma relação, já que os operadores podem trocar os payloads, mas elimina uma das ligações mais fortes usadas em atribuições anteriores", acrescentou a empresa de cibersegurança. "A configuração do Spark RAT contém um valor em língua chinesa, e o malware mira vários produtos de segurança comumente usados em ambientes de língua chinesa."
"Por isso, estamos acompanhando a atividade como um cluster sem atribuição, com possíveis vínculos de desenvolvimento ou implantação em língua chinesa e semelhanças operacionais com o ecossistema mais amplo do Silver Fox. Essa avaliação permanece com baixa confiança e pode mudar se forem identificadas evidências adicionais de código, infraestrutura, perfil de vítimas ou outros elementos de atribuição."
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...