Silver Fox verpackt ValleyRAT in ZPAQ und einem ByteDance-Binärdatei: Ein Telegram Chinesisches Sprachpaket MSI-Köder

SOC Prime Team

Folgen

Silver Fox verpackt ValleyRAT in ZPAQ und einem ByteDance-Binärdatei: Ein Telegram Chinesisches Sprachpaket MSI-Köder

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Ein bösartiger MSI-Installer, der sich als chinesisches Telegram-Sprachpaket tarnt, liefert eine vielschichtige Infektionskette, die ValleyRAT, ein BYOVD-basiertes Kernel-Rootkit, und eine signierte ByteDance-Anwendung umfasst, die für DLL-Sideloading missbraucht wird. Der Installer missbraucht auch das legitime zpaqfranz-Archivierungsprogramm als Living-off-the-Land-Binary und setzt den anfälligen wnBios-Treiber ein, um Zugriff auf den physischen Speicher zu erlangen. Forscher verknüpften die Infrastruktur hinter der Operation mit CTG Server Ltd in Hongkong und wiesen die Aktivität der Silver Fox APT-Gruppe zu. Die Kampagne scheint auf chinesischsprachige Benutzer in mehreren Ländern in der Asien-Pazifik-Region abzuzielen.

Untersuchung

Forscher rekonstruierten den vollständigen Angriffsfluss, beginnend mit der benutzerdefinierten MSI-Aktion und fortsetzend mit der Extraktion von ZPAQ-Archiven, dem selektiven Einsatz des ByteDance SodaMusicLauncher-Binaries für DLL-Sideloading und der Bereitstellung des wnBios-Kerneltreibers. Die Analyse eingebetteter Konfigurationsdaten enthüllte Betreiberkennungen und Details zu Kommando- und Kontrollstrukturen. Die unterstützende Infrastruktur war mit bulletproof Hosting verbunden, das zuvor mit Silver Fox in Verbindung gebracht wurde. Ermittler deckten auch Persistenztechniken und antivirusbewusste Umgehungslogik auf, die während der gesamten Eindringkette verwendet wurden.

Abschwächung

Verhindern Sie die Ausführung der zpaqfranz-Binärdatei außerhalb genehmigter Backup- oder Entwicklungsumgebungen und überwachen Sie MSI-Installationen, die auf benutzerdefinierte Aktionen von VBScript angewiesen sind, genau. Begrenzen Sie die Erstellung des AppShellElevationService und erkennen Sie unsignierte DLLs, die neben vertrauenswürdigen signierten Binärdateien platziert werden. Blockieren Sie die ausgehende Kommunikation zum identifizierten /21-Netzwerkbereich, der von CTG Server Ltd betrieben wird, und verweigern Sie den Datenverkehr über den benutzerdefinierten C2-Port 5040. Stärken Sie hostbasierte Schutzmaßnahmen gegen die bösartigen Dateinamen und Prozessnamen, die in dieser Kampagne beobachtet wurden.

Reaktion

Implementieren Sie Erkennungen für die identifizierten Dateien, gestarteten Prozesse und verdächtigen Diensteerstellungsereignisse. Führen Sie Suchläufe nach dem anfälligen Kerneltreiber und der charakteristischen XOR-basierten Entschlüsselungslogik der Malware durch. Isolieren Sie potenziell betroffene Systeme, sammeln Sie Arbeitsspeicherabbilder für eine tiefere Rootkit-Untersuchung und setzen Sie alle während des Kompromisses aufgedeckten Anmeldeinformationen zurück. Threat-Intelligence-Teams sollten die CTG Server-Infrastruktur weiterhin auf zugehörige Folgeaktivitäten überwachen.

graph TB classDef technique fill:#ffcc99 classDef tool fill:#c2e0ff classDef malware fill:#ffd9b3 classDef process fill:#d9ffcc initial_access[„<b>Technik</b> – Benutzer-Ausführung: bösartige Kopie & Einfügen“] class initial_access technique system_binary_proxy[„Msiexec System-Binary Proxy Ausführung“] class system_binary_proxy technique vbscript_interpreter[„Visual Basic Script Interpreter“] class vbscript_interpreter technique obfuscation[„Verschleierte Dateien“] class obfuscation technique lolbin_zpaqfranz[„Tool: zpaqfranz.exe“] class lolbin_zpaqfranz tool powershell_xor[„PowerShell XOR-Entschlüsselung“] class powershell_xor technique dll_sideloading[„DLL Sideloading Angriff“] class dll_sideloading technique signed_launcher[„Prozess: SodaMusicLauncher.exe“] class signed_launcher process windows_service[„Windows Dienst Persistenz“] class windows_service technique priv_esc_driver[„Privilegeskalation (BYOVD)“] class priv_esc_driver technique rootkit_bootkit[„Rootkit / Bootkit“] class rootkit_bootkit technique scheduled_task[„Geplante Aufgabe“] class scheduled_task technique c2_valleyrat[„Malware: ValleyRAT“] class c2_valleyrat malware c2_nonstandard_port[„Nicht standardmäßiger Port“] class c2_nonstandard_port technique c2_dynamic_resolution[„Dynamische C2 Auflösung“] class c2_dynamic_resolution technique initial_access –> system_binary_proxy system_binary_proxy –> vbscript_interpreter vbscript_interpreter –> obfuscation obfuscation –> lolbin_zpaqfranz obfuscation –> powershell_xor powershell_xor –> dll_sideloading dll_sideloading –> signed_launcher signed_launcher –> windows_service windows_service –> priv_esc_driver priv_esc_driver –> rootkit_bootkit scheduled_task –> c2_valleyrat c2_valleyrat –> c2_nonstandard_port c2_valleyrat –> c2_dynamic_resolution

Angriffsablauf

Angriffserzählung & Befehle:

Der Bedrohungsakteur erhält einen Spear-Phishing-Link (T1566.002), der zpaqfranz.exe auf den Arbeitsplatz des Opfers abwirft. Die Binärdatei ist ein legitim aussehendes Kompressionstool, das als LOLBin (T1036) umgenutzt wurde. Der Angreifer startet es dann über PowerShell (T1059.001) mit einer versteckten Befehlszeile, die das Tool anweist, ein gepacktes ValleyRAT-Payload zu dekomprimieren (T1027) und auszuführen. Der Prozess läuft im Kontext des aktuellen Benutzers und erzeugt ein Windows-Prozess-Erstellungsereignis, das den Regeln Image|endswith 'zpaqfranz.exe' Bedingung entspricht.

Schritt für Schritt:
1. Staging der bösartigen Binärdatei in %TEMP%.
2. Ausführen der Binärdatei mit PowerShell und Übergabe eines Dummy-Arguments (-extract) zur Nachahmung der realen Payload.
3. Halten Sie den Prozess für einen kurzen Zeitraum aufrecht und beenden Sie ihn dann.

Regressionstestskript:

# Silver Fox LOLBin-Ausführungssimulation
$tempPath = "$env:TEMPzpaqfranz.exe"

# 1. Kopieren Sie eine harmlose ausführbare Datei, um sie als bösartiges LOLBin zu tarnen
#    (In einem echten Test würden Sie die tatsächliche bösartige Binärdatei ablegen.)
Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $tempPath -Force

# 2. Führen Sie das LOLBin über PowerShell aus (Simulation von T1059.001)
$args = "-extract C:Temppayload.bin"
Write-Host "Launching $tempPath $args"
Start-Process -FilePath $tempPath -ArgumentList $args -NoNewWindow

# 3. Warten Sie einige Sekunden, um sicherzustellen, dass das Ereignis protokolliert wird
Start-Sleep -Seconds 5

# 4. Optional: Bereinigen simulieren (löschte die abgelegte Binärdatei)
Remove-Item -Path $tempPath -Force

Bereinigungskommandos:

# Entfernen Sie alle verbleibenden Artefakte aus der Simulation
$tempPath = "$env:TEMPzpaqfranz.exe"
if (Test-Path $tempPath) { Remove-Item $tempPath -Force }

# Beenden Sie unbeabsichtigt gestartete calc.exe-Prozesse
Get-Process -Name "calc" -ErrorAction SilentlyContinue | Stop-Process -Force

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten