Cambogia nel mirino: SparkRAT si nasconde nei PNG e spegne gli antivirus

🛡️ Executive Summary

• Una campagna rivolta alla Cambogia usa documenti-esca localizzati e un installer Inno Setup per avviare una catena multistadio.
• I payload cifrati vengono estratti da file PNG, iniettati in processi Windows e protetti tramite persistenza, manipolazione dei token e BYOVD.
• Lo stadio finale installa SparkRAT, ma i collegamenti con SilverFox restano ipotetici e valutati con bassa confidenza.

Una campagna informatica costruita attorno a esche in lingua e contesto cambogiano distribuisce SparkRAT attraverso una catena d’infezione progettata per eludere le analisi e neutralizzare i prodotti di sicurezza. L’operazione parte da archivi con falsi avvisi governativi, materiali sanitari e documenti immobiliari, quindi combina DLL side-loading, payload cifrati dentro file PNG, furto di token, persistenza e iniezione nei processi Windows. Il passaggio più aggressivo sfrutta un driver vulnerabile per terminare gli antivirus dal kernel. Le somiglianze con SilverFox sono significative, ma non bastano per attribuire la campagna a uno specifico gruppo.

L’esca governativa avvia l’infezione

Secondo l’analisi tecnica di Acronis TRU, gli archivi individuati tra la fine di giugno e l’inizio di agosto 2026 impiegano temi legati a comunicazioni governative cambogiane, salute pubblica, visite odontoiatriche, immobili e promozioni commerciali. Il campione principale contiene un eseguibile Inno Setup chiamato “Cambodian Government Notice on COVID-19 Prevention and Control (July 7).docx.exe”, denominazione costruita per sembrare un documento Word. I ricercatori considerano il file compatibile con uno scenario di phishing mirato, ma non hanno osservato l’e-mail o il canale usato per consegnarlo.

Anche l’attribuzione geografica deriva soprattutto dai nomi degli archivi e dai temi delle esche: indica un probabile interesse per destinatari cambogiani, senza dimostrare l’estensione completa dell’operazione. La scelta segue comunque un modello già emerso nelle operazioni di spionaggio contro organizzazioni della Cambogia, dove il contesto locale diventa parte integrante dell’ingegneria sociale.

Il loader trasforma i PNG in contenitori cifrati

Una volta eseguito, l’installer crea la directory nascosta C:\Drivers, prepara le sottocartelle mQm e XF e deposita i componenti successivi. Il binario firmato F7u00ex.exe, associato a Tencent, carica lateralmente la DLL malevola WfoY.qf, sfruttando la fiducia attribuita a un’applicazione legittima. È una tecnica osservata anche con Pdfsider e altre catene basate sul DLL side-loading.

Il loader registra quindi un Vectored Exception Handler, provoca intenzionalmente un’eccezione STATUS_BREAKPOINT ed entra nella routine principale attraverso il gestore personalizzato. Dopo un controllo temporale anti-sandbox, analizza il file PNG 56360VK1ES8.yvap, verifica la struttura fino al blocco IEND e concatena i dati IDAT che contengono il payload cifrato. Lo stesso principio ricorda PNGPlug impiegato per distribuire ValleyRAT, anche se una somiglianza tecnica non dimostra una comune regia operativa.

Leggi anche: Silver Fox usa driver vulnerabili per spegnere gli antivirus e installare ValleyRAT

Servizi, attività pianificate e process injection rafforzano la persistenza

Il secondo stadio controlla se il processo possiede il SID S-1-5-18, corrispondente a NT AUTHORITY\SYSTEM, e verifica l’esistenza del servizio TaskHandler. In assenza dei privilegi richiesti prepara la persistenza, quindi crea un servizio ad avvio automatico che esegue C:\Drivers\mQm\F7u00ex.exe e lo configura per ripartire dopo un errore.

Un’attività pianificata con lo stesso nome avvia inoltre il file a ogni accensione come SYSTEM e con il livello di esecuzione più elevato. I payload estratti dai PNG vengono iniettati in vssvc.exe, ctfmon.exe e svchost.exe; il malware controlla continuamente vssvc.exe e ripete l’iniezione se il processo termina o cambia PID. Prima di usare svchost.exe, esclude le istanze che ospitano servizi critici, riducendo il rischio di destabilizzare il sistema compromesso. La catena tenta anche di modificare AMSI ed ETW, aggiunge esclusioni di Microsoft Defender e manipola i token collegati ai processi di Huorong, arrivando a impersonare il token SYSTEM di winlogon.exe.

Il driver ardrv.sys attacca le difese dal kernel

La fase più invasiva installa ardrv.sys, un driver legittimo di OPSWAT AppRemover affetto dalla vulnerabilità CVE-2026-36425. Il componente espone la richiesta IOCTL 0x2420031 senza una verifica adeguata dei privilegi, permettendo al malware di inoltrare richieste per terminare processi. Questa applicazione della tecnica Bring Your Own Vulnerable Driver porta l’attacco dal normale spazio utente al kernel, dove i prodotti di sicurezza incontrano maggiori difficoltà nel proteggere i propri servizi. La campagna usa il driver contro componenti di Microsoft Defender, Huorong Internet Security, 360 Total Security e Tencent PC Manager. Un ulteriore payload, estratto dal PNG cnV.rb e iniettato in svchost.exe, abilita SeDebugPrivilege e replica la terminazione in modalità utente. Il doppio livello offre una soluzione di riserva se l’azione del driver fallisce o viene bloccata. Il metodo rientra nella più ampia crescita degli attacchi BYOVD usati per disabilitare EDR e antivirus.

SparkRAT emerge, ma l’attribuzione resta aperta

Il file d7zzQhzRglBv.es contiene lo stadio iniettato in ctfmon.exe, che carica riflessivamente SparkRAT in memoria. Il trojan di accesso remoto, open source e multipiattaforma, decifra la propria configurazione con AES-CTR, ne verifica l’integrità attraverso MD5 e contatta il server primario sx[.]nuihuw[.]com sulla porta 443, mantenendo nuihuw[.]top come indirizzo di riserva. La configurazione include anche il termine cinese “默认”, cioè “predefinito”.

Questo dettaglio, insieme ai controlli dedicati ai prodotti di sicurezza cinesi e alle tecniche operative adottate, suggerisce un ambiente di sviluppo o distribuzione di lingua cinese. Acronis rileva inoltre somiglianze con SilverFox, tra side-loading, payload multistadio, persistenza, iniezione e driver vulnerabili. Mancano però infrastrutture condivise, certificati coincidenti, marcatori esclusivi e riuso di codice a livello di funzione. Anche l’impiego di SparkRAT, invece dei più ricorrenti ValleyRAT o Winos, impone cautela: il cluster rimane non attribuito, con legami cinesi valutati a bassa confidenza.

Continua con:

• Tre cluster cinesi colpiscono un ente del Sud-est asiatico
• EggStreme attacca il Sud-est asiatico con tecniche fileless

Difendere gli endpoint richiede correlazione tra più segnali

La catena dimostra perché il rilevamento non può dipendere soltanto dall’identificazione del payload finale. I controlli dovrebbero intercettare la creazione anomala di C:\Drivers, il caricamento di DLL non standard da parte del binario Tencent, la comparsa del servizio o dell’attività TaskHandler, le modifiche alle esclusioni di Defender e l’installazione di ardrv.sys. Anche l’accesso ripetuto a PNG con estensioni insolite, seguito da iniezioni in vssvc.exe, ctfmon.exe o svchost.exe, costituisce una sequenza ad alta rilevanza. Le organizzazioni possono inoltre applicare policy di blocco dei driver vulnerabili, verificare che la blocklist Microsoft sia attiva e limitare la possibilità di creare servizi o attività pianificate con privilegi SYSTEM. Sul fronte iniziale, i gateway devono riconoscere le doppie estensioni come .docx.exe e sottoporre gli installer non attesi ad analisi isolata. La campagna mostra infine che esche credibili, software firmato e componenti legittimi possono convivere nella stessa operazione: è la correlazione dei comportamenti, non il singolo file, a rendere visibile l’attacco.