Grupo SilverFox utiliza cadeia de três drivers em ataques BYOVD para implantar ValleyRAT

Ameaça usa evasão de defesa em camadas, sequestro de线程 e infraestrutura legítima de nuvem contra setor de manufatura japonesa.

Componente	Infraestrutura, ameaça e software malicioso associados ao ator SilverFox, incluindo variações do backdoor ValleyRAT (também identificado como Winos 4.0), utilitários manipulados e arquivos de sistema do núcleo.
Vetor	Mensagem eletrônica fraudulenta com tema de fatura, hospedagem de conteúdo malicioso em serviços de nuvem legítimos, abuso de execução de módulos dinâmicos, e técnica de trazer seu próprio driver vulnerável (BYOVD).
Impacto	Acesso remoto persistente, execução de código em nível de núcleo do sistema operacional, evasão de mecanismos de segurança de terminal e controle contínuo do ativo comprometido por comunicação com servidor de comando e controle.
Prioridade	Inspeção de archivos compactados anexados, fiscalização rigorosa de processos legítimos que geram subprocessos, análise de tráfego para infraestrutura de nuvem chinesa, e bloqueio de hashes assinados conhecidos por suspenderem proteções locais.

Resumo técnico

O grupo chinês de cibercrime conhecido como Silver Fox foi observado utilizando uma nova e complexa cadeia de infecção focada no setor de manufatura industrial japonês. A campanha combina gatilhos de engenharia social via mensagens fraudadas e infraestrutura de cultura popular para entregar a ameaça ValleyRAT, garantindo acesso remoto e persistente aos sistemas comprometidos. A complexidade do ataque repousa na arquitetura de evasão e recuperação em múltiplas camadas, que combina o uso malicioso de aplicações de terceiros para injeção de módulos dinâmicos, destituição de processos de segurança e um sistema modular de drivers vulneráveis para escalar privilégios no núcleo do Windows.

A evolução do modus operandi deste ator de ameaças demonstra uma preocupação operacional notável com a resiliência do software malicioso. O grupo coordena植載 módulos que se recriam mutuamente, protegendo a execução principal de falhas ou finalizações abruptas. Na prática, uma vez instalado, o software funciona como uma estrutura autônoma, trazendo seus próprios drivers legítimos, mas falhos (denominada tacticamente de BYOVD), reescrevendo as bases de monitoramento nativo, injetando cargas úteis discretas em processos do sistema e mantendo estágios de recuperação que monitoram ativamente a integridade uns dos outros para manter o acesso ao sistema alvo.

Fluxo técnico da infecção

A progressão do comprometimento começa com um ataque de engenharia social usando uma fatura fraude como isca. O ponto de entrada utiliza arquivos hospedados em repositórios ou serviços de nuvem legítimos, notoriamente associados a plataformas de tecnologia chinesas, para transferir um arquivo compactado. Ao descompactar este arquivo, a vítima aciona um executável baixador projetado para buscar e obter os módulos necessários para o sideloading subsequente a partir de um servidor controlado pelos atacantes dentro dessa mesma nuvem pública.

Uma vez baixados, os artefatos iniciam um processo estruturado de evasão e acesso profundo. O executável legítimo associado a utilitários corporativos carrega um módulo dinâmico malicioso pré-programado. Este módulo orquestra a implantação da arquitetura ameaçadora baseada em três drivers distintos: BootRepair.sys, EnPortv.sys, e wsftprm.sys. Esses drivers, apesar de legítimos, possuem falhas de segurança e são utilizados para obter acesso de controle total ao núcleo (kernel) do sistema operacional, com o objetivo deliberado de paralisar e cegar controles de segurança locais. A seguir, o sistema operacional sofre unhooking direto em sua biblioteca principal NTDLL, removendo os ganchos inseridos por programas antivírus para monitorar atividades no nível do usuário.

Com as defesas neutralizadas, a carga final executável é ocultada utilizando sequestro de contextos de thread. Uma comunicação beira-servidor é executada para obter o código de exploração que é, por sua vez, injetado num novo processo autêntico de serviços (svchost.exe) para garantir sigilo. Além de injetar a carga final — o implante remoto ValleyRAT —, o carregador lança um mecanismo de observação duplo de recuperação. Um script de automação monitora externamente a integridade do carregador; ao passo que rotinas internas garantem que, se o processo injetado em svchost.exe morrer, ele seja imediatamente restaurado e ativado pelo carregador inicial. Encerrar apenas um componente é ineficaz, pois uma via reinicia a outra num ciclo infinito projetado para cansar analistas forenses.

Superfície afetada e alvos

O impacto tecnológico deste ataque concentra-se em estáções de trabalho operando sistemas Windows em ambientes corporativos, com foco operacional e espionagem industrial observado em instituições de manufatura no Japão. O uso de armazenamento na nuvem contorna firewalls obsoletos e bloqueios geográficos estáticos ao simular tráfego orgânico de tecnologias predominantes na Ásia.

As ferramentas e as façanhas de persistência de acesso remoto ValleyRAT registram-se como funcionalidades do famoso Ghost RAT. Isto outorga aos operadores uma ampla Controllership expondo a vítima a roubo de dados confidenciais, movimentação lateral discretamente monitorada e implantação posterior de binaries com ущемление de acesso administrativo.

• Defesas baseadas em endpoints e soluções de antivírus locais das empresas são alvos primários do ataque, ativados por drivers vulneráveis do kernel para inibir suas ações de quarentena.
• Executáveis legítimos pertencentes a corporações ferramentas comuns e processos genuínos de hospedeiros de serviço do Windows são vulneráveis a sequestro e utilizados como mecanismo de ganho inicial de confiança pelas ações de sideloading.
• A infraestrutura exposta abrange módulos de processamento de texto e visualização., arquitetados para serem monitorar de forma oculta dentro dos processos do sistema comprometido.
• Setores de manufatura colocam-se na linha de frente dos ataques realizados pelos atores, evidenciando um alvo estratégico visando provável obtenção de dados sensíveis de propriedade intelectual e automação industrial.

Hunting e telemetria

As equipes de monitoramento e análise devem expandir suas heurísticas para detectar as assinaturas comportamentais desta ameaça de forma além da mera assinatura estática. Dada a extrema dependência de arquivos aparentemente legítimos, é vital confrontar as gatilhos aplicando técnicas de análise de processos avsliados por deriva de contexto operacional. A rede interna deve ser escrutinada por chamadas IPs anômalas.

Sinais vitais incluem requisições de saída súbitas do ambiente para servidores localizados sob Coordenação léxica do ator na nuvem de aplicação social. Métodos automáticos de restauração devem ser monitorados a partir de agendamentos de tarefas.redis

• Monitoramento fino e analítico de processos executáveis legítimos suscetíveis a carregamento lateral de DLLs, especialmente quando geram subprocessos rapidamente亩 e abrem canal de rede piocante.
• Alertas imediatos para tentativas crédulas de acessos ou gravações de seção memória de processo envolvendo os arquivos do sistema amdk.sys, wsftprm.sys, e de加固 os recém descritos BootRepair.sys e EnPortv.sys.
• Análise profunda de tráfego de dados outbound para o endereço ipv4 de comunicação deárea registerado atualmente como Maurício 43.128.26[.]132, visando estabelecer conexões de captura sísmica enviar de pacotes de shellcode.
• Inspeção de comandos de scripts de reaproveitamento perpétuos vigilantes através do agendador de tarefas nativos do Windows operando baseias rotinas repetitivas que bourgeon restauram o phishing alojado como área de_DLL randômica.
• Investigação de atividades suspeitas envolvendo Ganchos desativados em NTDLL, com atualizações recentes na memória関連 確認 da coleção administrativa biblioteca escondendo orquestraçao客人 de APIs internas para impossibilitar identificação.

Mitigação e resposta

O plano direcional para proteção do parque tecnológico corporativo deve ser pautado pela desarticulação evident do ciclo de vida mútuo de detecção, garantindo que tanto o script de reanimação externa quanto o módulo injetor em memória sejam neutralizados simultaneamente. É indispensável o uso de tecnologia de bloqueio comportamental em conectividades suspeitas.

O endurecimento computacional envolvendo infraestrutura afastada deve impedir brechas de invasão por caminhos laterais e iscas em phishing題材ems. A conscientização constante contra anexos de faturas não solicitadas e a inspeção rigorosa de caminhos baixáveis de servidoresmbientais de nuvem:

• Atualização imediata das listas locais de controle de aplicativos bloqueando a execução ou carregamento de qualquer knotdrivers que não estejam assinados digitalmente com certificados rigorosamente atrelados ao núcleo do Windows.
• Isolamento e coleta de imagens forenses de máquinas suspeitas de infecção por ValleyRAT為 análise detalhada do fluxo de memória lida para capturar os estágios do shellcode não persistidos no disco.
• Adicionar forçadamente entradas de bloqueio de DNS firewalls para impedir the resolution estática de nomes 年内 na infraestrutura de cloud condensation possível e estabelecida para Tencent nes grupo exploritro dentro da nuvem e serviódos QQ.
• Implementar sensores端予防は de EDR avançados capazes de identificação e breakdown de mecanismos autônomos de duas vias gestión watchdogsлюд ou processos serem finalizadospor監視 de um ciclo infinito.
• Auditoria crítica de todas as tarefas agendadas do Windows e itens de inicialização inusitados no registro do Windows que servem de repositórios ocultos de cargas úteis injetáveis em binários limpos.