В рамках активной вредоносной кампании используются поддельные сайты для загрузки программного обеспечения, которые выдают себя за надежных поставщиков и распространяют вредоносные установщики.
«Эта кампания нацелена на пользователей, желающих загрузить популярное программное обеспечение, и привела к взломам во многих организациях и отраслях, затронув в первую очередь китайские подразделения транснациональных компаний и китайскоязычных пользователей», — сообщила компания Microsoft.
После запуска установщики развертывают вредоносное ПО, способное обеспечить постоянное присутствие в системе, ослабить средства защиты и устанавливать связь с инфраструктурой, контролируемой злоумышленниками.
В результате этой активности пострадали организации из таких секторов, как здравоохранение, производство, игровая индустрия, технологии, логистика, государственный сектор и образование. Производитель Windows с умеренной степенью уверенности пришел к выводу, что эта кампания соответствует деятельности китайской группы злоумышленников под названием Silver Fox (также известной как Yinhu), которая ранее уже использовала поддельные страницы загрузки поставщиков для распространения Gh0st RAT и ValleyRAT (также известного как WinOS 4.0).
Веб-сайты, обнаруженные в рамках этой кампании, размещены на инфраструктуре доменов .com.cn и .hl.cn и используют приманку на китайском языке, чтобы инициировать загрузку ZIP-архива с сайта «gehie246[.]com». Некоторые из поддельных веб-сайтов перечислены ниже —
- app-microsoft-edge[.]com[.]cn
- baidu-pan[.]com[.]cn
- calibre-ebook[.]com[.]cn
- cn-drawio[.]com[.]cn
- gw-sogou[.]com[.]cn
- kaspersky-lab[.]hl[.]cn
- mindmoster[.]com[.]cn
- ocam-pc[.]com[.]cn
- pc-razerzone[.]com[.]cn
- sejda[.]hl[.]cn
- steelseries-cn[.]com[.]cn
- translate-youdao[.]hl[.]cn
- zh-diskgenius[.]com[.]cn
Эти веб-страницы представляют собой высококачественные клоны сайтов легитимных поставщиков и содержат заметный призыв к действию — кнопку загрузки. Показательно, что архив, загруженный с сайта, сохраняет одно и то же имя файла, в то время как его хеш-значение меняется при каждой загрузке, что указывает на то, что полезный груз генерируется на стороне сервера «на лету» для каждого запроса.
При открытии архива запускается оболочка-установщик (например, «a_instapp83353001.exe» или «ainst8663586104.exe»), которая при запуске запускает полезную нагрузку первого уровня. Кроме того, Microsoft сообщила, что обнаружила второй вектор запуска, использующий доверенную службу Windows Installer («msiexec.exe») для запуска исполняемого файла с рандомизированным именем, повторяя ту же схему маскировки, что и цепочка оболочек.
Независимо от используемого метода, устойчивость достигается за счет запланированных задач, имитирующих рутинные ИТ-операции или рабочие процессы. Это вредоносное ПО также создает кратковременную запланированную задачу, запускаемую от имени SYSTEM, которая настраивает исключения для Microsoft Defender через PowerShell, удаляет теневые копии томов и гарантирует, что каталоги с полезной нагрузкой не могут быть удалены обычными пользователями, путем изменения их списков дискреционного контроля доступа (DACL) с помощью команды icacls.
Кроме того, оно вмешивается в работу Windows Update, останавливая и отключая процессы wuauserv, UsoSvc, uhssvc и WaaSMedicSvc, переименовывая библиотеки динамической компоновки (DLL) обновлений и удаляя кэш SoftwareDistribution.
После выполнения всех этих шагов вредоносная программа устанавливает связь управления (C2) через протоколы прикладного уровня на нестандартных портах, таких как 5090, 7031, 7032, 7088–7090, 8050, 28290 и 28300. Два домена C2, связанные с этой активностью, — «iualef[.]net» и «oijfwe[.]net».
Неясно, в чём заключается конечная цель этой кампании, поскольку, по словам Microsoft, Defender обнаружил угрозу и запустил автоматические процедуры локализации, прервав атаку, чтобы ещё больше ограничить её последствия.
Эта информация появилась всего через несколько дней после того, как «Лаборатория Касперского» подробно описала вредоносный установщик, который развертывает модифицированную китайскую утилиту управления обоями рабочего стола, известную как QN Wallpaper, и использует её для запуска цепочки бокового загрузки DLL-файлов, отвечающей за доставку ValleyRAT.
«Исходная версия QN Wallpaper представляет собой настоящую рекламную программу: при установке она доставляет на устройство приложенные партнерские приложения, а затем показывает пользователю рекламные баннеры», — отметили в «Лаборатории Касперского». «Однако в данном случае злоумышленники используют его для боковой загрузки DLL — метода, позволяющего запускать вредоносный код под видом подписанного процесса с помощью вредоносной DLL».
Помимо принятия мер по защите своего процесса и предотвращению его завершения, бэкдор перехватывает нажатия клавиш и содержимое буфера обмена, а также сохраняет эти данные в файл на диске. Кроме того, он периодически сканирует активные окна приложений, которые могут использоваться для анализа процессов или сетевого трафика.
ValleyRAT — это сложный имплантант с широким набором функций, позволяющих ему собирать системную информацию, перезагружать или выключать компьютер, делать снимки экрана, очищать журналы, обновлять адреса C2, загружать дополнительные модули DLL или шелл-кода, а также отправлять журналы кейлоггера вместе с данными из буфера обмена.
«Злоумышленники использовали хорошо известное рекламное приложение для запуска бэкдора под видом подписанного процесса, что затрудняет его обнаружение», — отмечает «Лаборатория Касперского». «Группировка Silver Fox, движимая как кибершпионажем, так и стремлением к финансовой выгоде, нацелена на организации в разных странах».
Согласно отчету, опубликованному компанией Expel в прошлом месяце, использование ValleyRAT также приписывается подгруппе в составе GoldenEyeDog, известной как CuboidalCanine, которая, по оценкам, «в какой-то момент» отказалась от использования Gh0st RAT. По данным компании, занимающейся кибербезопасностью, CuboidalCanine нацелена на игорную индустрию и использует «водопои» для распространения вредоносного ПО, злоупотребляя сертификатами подписи кода для обхода средств защиты.
«Это вредоносное ПО не является уникальным для какого-либо конкретного злоумышленника, но, как известно, используется группой GoldenEyeDog», — заявил исследователь в области безопасности Аарон Уолтон. «Поскольку исходный код находится в открытом доступе, отнесение этого вредоносного ПО к какому-либо злоумышленнику основывается на факторах, отличных от самого семейства вредоносных программ».
В июне 2026 года китайские власти приняли меры в связи с серией киберпреступлений, связанных с распространением нового варианта трояна Silver Fox, как сообщило государственное СМИ China Daily.