Silver Fox usa driver vulnerabili per spegnere gli antivirus e installare ValleyRAT

🛡️ Executive Summary

• Una falsa fattura indirizza le vittime verso archivi ospitati su servizi QQ e Tencent Cloud controllati dagli aggressori.
• Silver Fox sfrutta tre driver vulnerabili per terminare antivirus ed EDR dal kernel e installare ValleyRAT dentro svchost.exe.
• La difesa richiede il blocco dei driver vulnerabili e il rilevamento congiunto di sideloading, servizi kernel, injection e persistenza.

Il gruppo Silver Fox ha ampliato la propria catena di attacco combinando phishing, servizi cloud legittimi, DLL sideloading e tre driver vulnerabili utilizzati per disattivare antivirus ed EDR direttamente dal kernel di Windows. La campagna analizzata da Cato CTRL ha colpito un’azienda manifatturiera giapponese attraverso una falsa fattura e ha tentato di installare ValleyRAT, conosciuto anche come Winos 4.0. La novità principale non risiede in una singola tecnica, ma nell’integrazione di applicazioni PDF firmate, driver sostituibili, injection dentro svchost.exe, payload conservati nel registro e due sistemi separati capaci di riavviare il malware dopo la terminazione dei suoi processi.

Una falsa fattura avvia l’infezione attraverso QQ e Tencent Cloud

La catena parte da un messaggio di phishing costruito intorno a una presunta fattura destinata a un’organizzazione giapponese del settore manifatturiero. Quando il destinatario tenta di visualizzare il documento viene indirizzato verso un archivio ZIP ospitato attraverso l’infrastruttura di consegna file di QQ, servizio legittimo utilizzato dagli aggressori per rendere meno sospetto il traffico iniziale. L’archivio contiene un downloader che recupera da Tencent Cloud Object Storage una seconda serie di componenti composta dalla DLL malevola PDFCORE8.dll e da una delle applicazioni legittime ConvertToPDF.exe o PDFDirect.exe. Entrambi i programmi appartengono a Zeon Corporation, conservano una firma digitale valida e non risultano modificati dagli attaccanti. Il loader li colloca però nella stessa directory della DLL ostile, talvolta rinominando l’eseguibile come MicrosoftEdgeUpdate.exe per farlo apparire come un componente di aggiornamento Microsoft.

Quando il programma viene avviato, Windows cerca localmente la libreria PDFCORE8.dll e carica quella predisposta dagli aggressori. Questa modalità estende una tecnica già impiegata nelle campagne ValleyRAT con falsi documenti Foxit e DLL sideloading, ma introduce due nuovi host firmati che non erano stati pubblicamente documentati come strumenti di sideloading. I servizi QQ e Tencent non risultano compromessi: vengono abusati come infrastrutture fidate per ospitare e distribuire i file della campagna.

PDFCORE8.dll nasconde tre driver e un framework modulare

Una volta caricata dall’applicazione legittima, PDFCORE8.dll agisce come un framework autosufficiente che contiene risorse cifrate e riduce il numero di download necessari dopo l’accesso iniziale. La DLL incorpora i driver BootRepair.sys, EnPortv.sys e wsftprm.sys, oltre a uno script batch utilizzato come watchdog. I componenti vengono conservati nella sezione risorse del file Portable Executable, cifrati con RC4 e decifrati soltanto quando diventano necessari. Il malware utilizza una chiave a 128 bit, implementa internamente le routine RC4 e scrive i driver sul disco esclusivamente durante la fase di caricamento. Silver Fox installa quindi il driver selezionato come servizio kernel attraverso il Service Control Manager, apre il relativo device object con CreateFile() e invia richieste privilegiate mediante DeviceIoControl().

L’architettura riutilizza le stesse funzioni per estrazione, decifratura, scrittura, creazione del servizio e comunicazione con il driver, cambiando essenzialmente immagine, nome del dispositivo e codice IOCTL. Questa modularità consente di sostituire un driver bloccato o incompatibile senza riscrivere l’intero loader. BootRepair.sys e EnPortv.sys non erano stati precedentemente collegati alle attività di Silver Fox, mentre wsftprm.sys, interessato da CVE-2023-52271, era già comparso in campagne associate allo stesso ecosistema. L’evoluzione conferma la continuità con i precedenti attacchi di Silver Fox basati su driver vulnerabili e ValleyRAT, ma amplia il numero di percorsi disponibili per ottenere capacità privilegiate.

Il modello BYOVD termina antivirus ed EDR dal kernel

La tecnica Bring Your Own Vulnerable Driver, abbreviata in BYOVD, permette al malware di utilizzare driver autenticamente firmati ma dotati di funzioni sfruttabili per eseguire operazioni privilegiate. Silver Fox enumera i processi in esecuzione, confronta i nomi con un elenco interno di prodotti antivirus, EDR e strumenti di monitoraggio e trasmette al driver il relativo identificativo di processo. La terminazione non viene quindi tentata dal componente user mode, dove potrebbe essere bloccata dalle protezioni di Windows, ma dal driver kernel attraverso chiamate che raggiungono ZwTerminateProcess(). EnPortv.sys, originariamente distribuito con la suite forense EnCase, riceve le richieste attraverso il device \\.\EnPortv e l’IOCTL 0x223078; wsftprm.sys espone invece \\.\Warsaw_PM e utilizza 0x22201C. Anche BootRepair.sys offre funzionalità abusabili per chiudere processi dal kernel.

Dopo aver indebolito le difese, il loader ripristina inoltre la sezione .text di ntdll.dll utilizzando una copia pulita caricata dalla directory di sistema, rimuovendo gli hook user mode impiegati da alcuni prodotti di sicurezza per osservare le API native. Costruisce dinamicamente nomi come kernel32.dll, risolve le API soltanto al momento dell’uso e riduce le stringhe significative visibili durante l’analisi statica. Il risultato è una catena nella quale l’elusione delle difese non dipende da un solo trucco: il kernel spegne i processi di sicurezza, mentre l’unhooking di NTDLL riduce la telemetria disponibile nello spazio utente.

ValleyRAT viene iniettato in svchost.exe e conservato nel registro

Dopo aver disattivato le protezioni, il malware contatta il server di comando e controllo e scarica shellcode destinato all’esecuzione di ValleyRAT. Il loader crea svchost.exe in stato sospeso, alloca memoria nel nuovo processo, vi copia il payload e modifica il contesto del thread principale affinché il puntatore di esecuzione venga trasferito al codice iniettato. La tecnica di thread-context hijacking evita la creazione di un nuovo thread remoto e permette al RAT di operare dentro un processo Windows riconoscibile. La persistenza viene ottenuta attraverso un’attività pianificata che rilancia il loader al login dell’utente, ma Silver Fox aggiunge due ulteriori livelli di recupero. Un monitor interno controlla se il processo iniettato è ancora attivo e lo ricrea quando viene terminato; uno script batch esterno verifica ogni 30 secondi la presenza del loader e lo riavvia quando scompare. Anche l’eliminazione di una singola componente non interrompe quindi stabilmente l’infezione. Il payload viene salvato come valore binario nella chiave HKCU\Console\0, mentre la configurazione C2 viene mantenuta separatamente in HKLM\SOFTWARE\IpDates_sun. Prima dell’esecuzione, il malware cerca nel codice il marcatore FaCai2024 e lo sostituisce con indirizzo e porte del server, consentendo agli operatori di cambiare infrastruttura senza distribuire una nuova copia completa del RAT. La ricostruzione tecnica pubblicata nel report di Cato CTRL sulla nuova campagna Silver Fox attribuisce l’attività al gruppo con confidenza medio-alta, sulla base della combinazione tra ValleyRAT, BYOVD, marker FaCai2024, storage nel registro, infrastruttura e selezione delle vittime. Nessun singolo elemento viene però considerato una prova conclusiva.

La rilevazione deve unire driver, processi e artefatti del registro

Il rilevamento non può basarsi esclusivamente sui nomi delle applicazioni firmate, perché ConvertToPDF.exe e PDFDirect.exe sono programmi legittimi e non devono essere bloccati indiscriminatamente. Il segnale rilevante è la loro esecuzione da %TEMP% o da altre directory scrivibili dall’utente, soprattutto quando caricano una copia inattesa di PDFCORE8.dll presente nello stesso percorso. Gli amministratori devono inoltre cercare la creazione di servizi kernel associati a BootRepair.sys, EnPortv.sys e wsftprm.sys, la nascita di svchost.exe in stato sospeso seguita da scrittura remota della memoria, modifiche al contesto del thread e ripresa dell’esecuzione. Le chiavi HKCU\Console\0 e HKLM\SOFTWARE\IpDates_sun, il marker FaCai2024, le attività pianificate anomale e i cicli ripetuti di tasklist.exe, find.exe e timeout.exe costituiscono ulteriori elementi utili. Cato Networks ha segnalato a Zeon l’abuso delle applicazioni PDF il 1° luglio 2026 e a Tencent quello delle infrastrutture cloud il 12 luglio, dichiarando di non aver ricevuto risposta entro il 20 luglio. L’indagine riguarda una singola organizzazione manifatturiera giapponese e non consente di stabilire l’estensione complessiva della campagna. Silver Fox aveva già mostrato capacità di diversificazione attraverso Modbeacon, campagne SEO e l’operazione Phnom Penh e mediante la backdoor ABCDoor distribuita con falsi avvisi fiscali. La nuova operazione dimostra però un salto nella resilienza: software firmato, tre driver intercambiabili, payload nel registro e watchdog incrociati vengono coordinati per mantenere ValleyRAT operativo anche dopo l’intervento parziale delle difese.