El grupo SilverFox ha ampliado su arsenal de malware mediante una campaña dirigida a un fabricante industrial japonés. Los atacantes utilizaron correos electrónicos con facturas falsas para engañar a las víctimas y lograr que descargaran un archivo ZIP desde servicios aparentemente legítimos. Posteriormente, emplearon software confiable para cargar componentes maliciosos sin alterar la aplicación firmada original.

SilverFox ha ampliado su kit de herramientas de malware en una campaña dirigida a un fabricante industrial japonés.

Los atacantes utilizaron un correo electrónico de factura falsa para engañar al destinatario y hacer que descargara un archivo ZIP alojado a través de servicios que normalmente parecen legítimos.

El ataque utilizó entonces software confiable para cargar un componente malicioso sin modificar la aplicación firmada en sí misma.

Este método, conocido como DLL sideloading, permite a los atacantes mezclar código dañino en la actividad ordinaria de Windows, de forma muy similar a las técnicas vistas en campañas de AsyncRAT.

Analistas de CATO Networks identificaron la actividad y la vincularon a SilverFox con una confianza de moderada a alta.

CATO Networks señaló en un informe que la campaña entrega finalmente ValleyRAT, una herramienta de acceso remoto que puede dar a los atacantes el control de un ordenador infectado.

La operación es importante porque combina varias formas de evitar la detección en una sola cadena.

SilverFox puede debilitar los productos de seguridad, inyectar código en un proceso de Windows confiable, guardar su carga útil en el Registro y restaurar partes de la infección si tú, como defensor, detienes solo una etapa.

SilverFox secuestra software confiable

Los atacantes emparejan una aplicación legítima relacionada con PDF con una librería maliciosa colocada en la misma carpeta.

Cuando el programa confiable se inicia, Windows carga primero la librería controlada por el atacante, lo que permite que el malware se ejecute bajo la cobertura de firmas digitales válidas.

Este enfoque se asemeja al abuso descrito en ataques recientes de software firmado, donde se utilizaron aplicaciones legítimas para ocultar el comportamiento de carga maliciosa.

En el caso de SilverFox, las aplicaciones legítimas no fueron alteradas, y no hay indicios de que su desarrollador haya participado conscientemente en la actividad.

Una vez activo, el cargador malicioso descifra e instala uno de varios controladores de núcleo (kernel drivers) firmados pero vulnerables.

Estos controladores pueden finalizar procesos de antivirus y seguridad de endpoints protegidos desde el nivel más profundo de Windows, dándole a SilverFox una ruta para evadir controles que al malware ordinario le costaría desactivar.

El grupo ha utilizado esta estrategia general anteriormente. Lo nuevo aquí es la adición de dos familias de controladores no vinculadas públicamente al grupo anteriormente, creando más opciones si un controlador es bloqueado o incompatible.

Una cadena de entrega de ValleyRAT resiliente

Después de reducir la visibilidad de la seguridad, SilverFox contacta con su servidor de comando e inyecta el shellcode descargado en un proceso de servicio de Windows suspendido.

En lugar de lanzar un proceso malicioso claramente separado, cambia la ruta de ejecución existente del proceso para que el código inyectado se ejecute cuando Windows lo reanude.

El malware también intenta reducir la monitorización restaurando una copia limpia en memoria de una librería central de Windows.

Ese paso puede eliminar algunos ganchos (hooks) de seguridad a nivel de usuario, aunque no elimina la protección del registro del núcleo, la monitorización de red o la detección basada en el comportamiento.

La persistencia está integrada en la campaña. SilverFox crea una tarea programada para volver a ejecutar su cargador después de que tú inicies sesión, mientras que un script de vigilancia (watchdog) comprueba cada 30 segundos si el cargador sigue activo y lo reinicia si es necesario.

Un segundo monitor puede recrear la carga útil inyectada si ese proceso se detiene. Tú, como defensor, deberías buscar la secuencia en lugar de confiar en un único nombre de archivo, dominio o firma.

Las señales útiles incluyen la carga de DLL sospechosas desde carpetas temporales, la creación de servicios de controladores vulnerables, un proceso de Windows suspendido seguido de una modificación de memoria, escrituras inusuales en el Registro y actividad repetida del watchdog.

Este enfoque centrado en el comportamiento es especialmente importante en los ataques de ValleyRAT con falsos ejecutables de VLC, donde las aplicaciones que parecen confiables también ayudan a ocultar la entrega.

Los equipos de seguridad deben aislar rápidamente los sistemas afectados, investigar todo el árbol de procesos, eliminar las tareas programadas y los servicios de controladores maliciosos, y rotar las credenciales que puedan haber quedado expuestas durante el acceso remoto.

Bloquear un solo componente puede no ser suficiente si el mecanismo de recuperación restante puede reconstruir la cadena de infección.

Fuentes:
https://cybersecuritynews.com/silverfox-hijacks-trusted-software/