Silver Fox Avvolge ValleyRAT in ZPAQ e un Binario ByteDance: Un Pacchetto Lingua Cinese di Telegram MSI Come Esca

SOC Prime Team

Segui

Silver Fox Avvolge ValleyRAT in ZPAQ e un Binario ByteDance: Un Pacchetto Lingua Cinese di Telegram MSI Come Esca

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un installer MSI rogue che si presenta come un pacchetto linguistico cinese di Telegram distribuisce una catena di infezione stratificata che coinvolge ValleyRAT, un rootkit del kernel basato su BYOVD e un eseguibile firmato di ByteDance abusato per il DLL sideloading. L’installer sfrutta anche l’utilità di archiviazione legittima zpaqfranz come un binario living-off-the-land e distribuisce il driver vulnerabile wnBios per ottenere l’accesso alla memoria fisica. I ricercatori hanno collegato l’infrastruttura dietro l’operazione alla CTG Server Ltd di Hong Kong e hanno attribuito l’attività al gruppo APT Silver Fox. La campagna sembra mirata a utenti di lingua cinese in diversi paesi della regione Asia-Pacifico.

Indagine

I ricercatori hanno ricostruito il flusso completo dell’attacco, a partire dall’azione personalizzata MSI e continuando attraverso l’estrazione degli archivi ZPAQ, l’uso selettivo del binario ByteDance SodaMusicLauncher per il DLL sideloading e la distribuzione del driver kernel wnBios. L’analisi dei dati di configurazione incorporati ha rivelato identificatori degli operatori e dettagli di comando e controllo. L’infrastruttura di supporto era collegata a un hosting a prova di proiettile precedentemente associato a Silver Fox. Gli investigatori hanno anche scoperto tecniche di persistenza e logiche di evasione consapevoli degli antivirus utilizzate in tutta la catena di intrusione.

Mitigazione

Previeni l’esecuzione del binario zpaqfranz al di fuori degli ambienti di backup o di sviluppo approvati e monitora da vicino le installazioni MSI che si basano su azioni personalizzate con VBScript. Limita la creazione dell’AppShellElevationService e rileva DLL non firmati posizionati accanto a binari firmati affidabili. Blocca la comunicazione in uscita verso l’intervallo di rete /21 identificato operato da CTG Server Ltd e nega il traffico sulla porta C2 personalizzata 5040. Rafforza le protezioni basate su host contro i nomi file e i nomi dei processi dannosi osservati in questa campagna.

Risposta

Distribuisci rilevamenti per i file identificati, processi generati ed eventi di creazione di servizi sospetti. Conduci ricerche per il driver kernel vulnerabile e la logica di decrittazione distintiva basata su XOR del malware. Isola i sistemi potenzialmente interessati, raccogli immagini di memoria per un’indagine più approfondita del rootkit e reimposta tutte le credenziali esposte durante la compromissione. I team di intelligence delle minacce dovrebbero continuare a monitorare l’infrastruttura di CTG Server per eventuali attività di follow-on correlate.

graph TB classDef technique fill:#ffcc99 classDef tool fill:#c2e0ff classDef malware fill:#ffd9b3 classDef process fill:#d9ffcc initial_access[“<b>Tecnica</b> – esecuzione utente malevola”] class initial_access technique system_binary_proxy[“Esecuzione proxy msiexec”] class system_binary_proxy technique vbscript_interpreter[“Interprete Visual Basic”] class vbscript_interpreter technique obfuscation[“File offuscati”] class obfuscation technique lolbin_zpaqfranz[“Tool: zpaqfranz.exe”] class lolbin_zpaqfranz tool powershell_xor[“PowerShell decrittazione XOR”] class powershell_xor technique dll_sideloading[“DLL sideloading”] class dll_sideloading technique signed_launcher[“Processo: SodaMusicLauncher.exe”] class signed_launcher process windows_service[“Persistenza servizio Windows”] class windows_service technique priv_esc_driver[“Escalation privilegi BYOVD”] class priv_esc_driver technique rootkit_bootkit[“Rootkit / Bootkit”] class rootkit_bootkit technique scheduled_task[“Attività pianificata”] class scheduled_task technique c2_valleyrat[“Malware: ValleyRAT”] class c2_valleyrat malware c2_nonstandard_port[“Porta non standard”] class c2_nonstandard_port technique c2_dynamic_resolution[“Risoluzione dinamica C2”] class c2_dynamic_resolution technique initial_access –> system_binary_proxy system_binary_proxy –> vbscript_interpreter vbscript_interpreter –> obfuscation obfuscation –> lolbin_zpaqfranz obfuscation –> powershell_xor powershell_xor –> dll_sideloading dll_sideloading –> signed_launcher signed_launcher –> windows_service windows_service –> priv_esc_driver priv_esc_driver –> rootkit_bootkit scheduled_task –> c2_valleyrat c2_valleyrat –> c2_nonstandard_port c2_valleyrat –> c2_dynamic_resolution

Flusso di Attacco

Narrazione & Comandi di Attacco:

L’attore della minaccia riceve un link spear-phishing (T1566.002) che scarica zpaqfranz.exe sulla workstation della vittima. Il binario è uno strumento di compressione dall’aspetto legittimo riutilizzato come LOLBin (T1036). L’aggressore quindi lo lancia tramite PowerShell (T1059.001) con una riga di comando nascosta che istruisce lo strumento a decomprimere un payload ValleyRAT impacchettato (T1027) ed eseguirlo. Il processo viene eseguito nel contesto utente corrente, generando un evento di creazione processo di Windows che corrisponde alla Image|endswith 'zpaqfranz.exe' condizione.

Passo dopo passo:
1. Posiziona il binario dannoso in %TEMP%.
2. Esegui il binario con PowerShell, passando un argomento fittizio (-extract) per imitare il payload reale.
3. Mantieni il processo per un breve periodo, quindi uscire.

Script di Test di Regressione:

# Simulazione di Esecuzione LOLBin Silver Fox
$tempPath = "$env:TEMPzpaqfranz.exe"

# 1. Copia un eseguibile benigno per mascherarsi come LOLBin dannoso
#    (In un vero test farai cadere il binario dannoso effettivo.)
Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $tempPath -Force

# 2. Esegui il LOLBin tramite PowerShell (simulando T1059.001)
$args = "-extract C:Temppayload.bin"
Write-Host "Launching $tempPath $args"
Start-Process -FilePath $tempPath -ArgumentList $args -NoNewWindow

# 3. Aspetta qualche secondo per assicurarti che l'evento sia registrato
Start-Sleep -Seconds 5

# 4. Opzionale: simula la pulizia (elimina il binario rilasciato)
Remove-Item -Path $tempPath -Force

Comandi di Pulizia:

# Rimuovi eventuali artefatti residui dalla simulazione
$tempPath = "$env:TEMPzpaqfranz.exe"
if (Test-Path $tempPath) { Remove-Item $tempPath -Force }

# Termina i processi calc.exe straordinari che potrebbero essere stati avviati involontariamente
Get-Process -Name "calc" -ErrorAction SilentlyContinue | Stop-Process -Force

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis