Silver Fox usa falsi installer per spegnere Defender e Windows Update

🛡️ Executive Summary

• Microsoft segue una campagna associata con moderata confidenza a Silver Fox che distribuisce malware attraverso copie contraffatte dei siti di software legittimi.
• I payload aggiungono esclusioni a Defender, cancellano Shadow Copies, disabilitano Windows Update e stabiliscono persistenza e canali C2 per ulteriori operazioni.
• Separatamente, Microsoft mitiga i crash di Teams e Outlook su Windows Arm e risolve falsi positivi di Safe Links contro URL di Google Search.

Falsi siti di download perfettamente imitati, installer generati dinamicamente e una catena progettata per indebolire le difese di Windows prima di consolidare l’accesso. Microsoft Defender Experts sta seguendo una campagna attiva che colpisce soprattutto utenti cinesi e attività in Cina di organizzazioni multinazionali, con vittime osservate nei settori sanitario, manifatturiero, gaming, tecnologia, logistica, pubblica amministrazione e istruzione. Microsoft collega con moderata confidenza l’attività all’ecosistema Silver Fox, noto anche come Yinhu, già associato alla distribuzione di Gh0st RAT e ValleyRAT. Nelle stesse ore Microsoft affronta due problemi completamente distinti dai cyberattacchi: Teams e nuovo Outlook che non si avviano su alcuni PC Windows Arm e un falso positivo di Defender for Office 365 che ha classificato URL legittimi di Google Search come malevoli.

Silver Fox clona i siti dei software e genera un archivio diverso a ogni download

La ricerca pubblicata da Microsoft Security descrive una campagna nella quale gli aggressori realizzano copie convincenti delle pagine di download di produttori e applicazioni conosciute, sfruttando domini costruiti per apparire compatibili con la versione cinese dei servizi originali. Tra i marchi imitati compaiono Microsoft Edge, Baidu Pan, Calibre, draw.io, Kaspersky, SteelSeries e altre utility utilizzate quotidianamente. Il visitatore vede una normale pagina con il pulsante di download, ma il file recuperato proviene dall’infrastruttura degli aggressori.

Un dettaglio operativo rende la distribuzione particolarmente interessante: il nome dell’archivio ZIP resta uguale mentre l’hash cambia a ogni richiesta, indicazione che il backend prepara dinamicamente una nuova copia del payload. Questo meccanismo complica le difese basate esclusivamente su hash e reputazione statica e costringe i sistemi endpoint a rilevare soprattutto la sequenza comportamentale successiva all’esecuzione. La stessa area criminale era appena riemersa con ValleyRAT nascosto dentro una versione modificata dell’adware QN Wallpaper, campagna nella quale processi firmati e DLL sideloading permettevano di mascherare la backdoor sotto software apparentemente legittimo.

L’installer crea attività SYSTEM e prepara l’indebolimento delle difese

L’utente compromette il sistema eseguendo quello che ritiene essere un normale installer. Microsoft ha osservato almeno due modalità di avvio: un wrapper eseguibile con nomi variabili e una catena che utilizza il processo legittimo msiexec.exe come proxy per l’esecuzione. Una volta ottenuto il primo foothold, il malware costruisce la persistenza attraverso Scheduled Task con denominazioni pensate per sembrare normali attività IT o applicative. La catena crea inoltre un’attività temporanea eseguita come SYSTEM, livello necessario per modificare componenti sensibili del sistema.

È a questo punto che l’attacco smette di essere soltanto una distribuzione malware e diventa un’operazione di preparazione dell’endpoint: gli aggressori modificano le esclusioni di Microsoft Defender, intervengono sui permessi delle directory del payload e cancellano le copie shadow utilizzabili per il ripristino. La scelta di utilizzare task pianificati e strumenti legittimi di Windows segue un modello ormai ricorrente nelle compromissioni enterprise: ridurre il numero di componenti apertamente malevoli e delegare una parte dell’operazione ai meccanismi amministrativi già presenti nel sistema. Un approccio analogo, pur attraverso una catena differente, emerge in TerminalFix, dove un falso CAPTCHA arriva fino a persistenza, ricognizione Active Directory e reverse tunnel.

Leggi anche: ValleyRAT si traveste da adware firmato e supera i 100.000 rilevamenti nel 2026

Windows Update viene disabilitato per impedire al sistema di recuperare

La componente più aggressiva della catena riguarda Windows Update. Microsoft documenta l’arresto e la disabilitazione di wuauserv, UsoSvc, uhssvc e WaaSMedicSvc, componenti direttamente coinvolti nella ricerca, installazione e riparazione degli aggiornamenti. Gli aggressori arrivano inoltre a rinominare DLL utilizzate dall’infrastruttura di aggiornamento e a eliminare la cache SoftwareDistribution. L’obiettivo non è soltanto impedire l’installazione immediata di una patch: disarticolare contemporaneamente più componenti rende più difficile il recupero automatico e prolunga la permanenza su macchine nelle quali il malware ha già modificato Defender.

Microsoft osserva anche la cancellazione delle Volume Shadow Copies, comportamento che riduce ulteriormente le opzioni di ripristino locale e che compare frequentemente nelle fasi preparatorie di ransomware e intrusioni distruttive. Nella campagna analizzata non viene però indicato un payload ransomware come obiettivo finale e Microsoft non attribuisce agli operatori una finalità conclusiva specifica. Le operazioni documentate mostrano piuttosto la costruzione di un endpoint persistente e più difficile da riparare, pronto per attività successive.

Defender viene indebolito ma continua a rilevare e contenere parti della catena

La campagna tenta esplicitamente di aggiungere directory alle esclusioni di Microsoft Defender Antivirus, utilizzando PowerShell e privilegi SYSTEM. Microsoft segnala però rilevamenti in più fasi, tra cui tentativi di manipolazione delle esclusioni, process injection, Scheduled Task sospette, connessioni C2 e movimento laterale. Negli ambienti che soddisfacevano i requisiti, Defender XDR Attack Disruption ha isolato automaticamente dispositivi e account compromessi. La società chiarisce tuttavia che il contenimento automatico non elimina necessariamente tutti i meccanismi di persistenza e che l’eradicazione completa richiede ancora l’intervento del responder.

Questo aspetto è importante perché l’aggressore cerca di compromettere precisamente la piattaforma incaricata di individuarlo: il fatto che Defender possa rilevare alcune modifiche non significa che una macchina sulla quale esse siano già state tentate possa essere considerata nuovamente affidabile senza un’analisi post-compromissione. Ad agosto Microsoft Defender aveva inoltre subito un problema completamente diverso che provocava crash delle scansioni, poi corretto attraverso un aggiornamento della Security Intelligence: vulnerabilità, campagne di tampering e malfunzionamenti operativi devono quindi essere mantenuti nettamente separati.

C2, SMB e attività interattiva mostrano che l’intrusione non è soltanto automatica

Completata la preparazione del sistema, il malware stabilisce comunicazioni verso l’infrastruttura degli operatori utilizzando protocolli applicativi su porte non standard, tra cui 5090, 7031, 7032, 7088-7090, 8050, 28290 e 28300. Microsoft collega alla campagna anche i domini iualef[.]net e oijfwe[.]net. La telemetria mostra tentativi di movimento laterale tramite SMB, ma soprattutto una componente hands-on-keyboard in una parte degli ambienti compromessi. Questo significa che la catena automatizzata può trasformarsi in un accesso gestito direttamente dall’operatore, che dispone quindi della libertà di adattare i passaggi successivi alla rete raggiunta. Microsoft non attribuisce l’operazione a un attore statale e mantiene l’associazione a Silver Fox a un livello di moderata confidenza. È una distinzione significativa: la presenza di infrastruttura cinese, vittime prevalentemente cinesi e malware storicamente associato allo stesso ecosistema non basta a trasformare automaticamente una campagna criminale o mista in attività sponsorizzata da uno Stato. La continuità tecnica è invece evidente con altre operazioni nelle quali SparkRAT tenta di spegnere antivirus, modificare AMSI ed ETW e ottenere privilegi SYSTEM.

Teams e nuovo Outlook non si avviano su alcuni PC Windows Arm

Separatamente dalla campagna malware, Microsoft ha riconosciuto un problema introdotto dopo gli aggiornamenti di sicurezza distribuiti dall’11 agosto 2026, compreso KB5121003, che può impedire a Microsoft Teams e al nuovo Outlook per Windows di avviarsi correttamente sui dispositivi Arm. La pagina ufficiale Windows Release Health indica come esempi Surface Pro 11 e Surface Laptop 7 e classifica il problema come Mitigated, non ancora definitivamente risolto. Sono coinvolti Windows 11 24H2, 25H2 e 26H1, mentre i sistemi Windows Server non risultano interessati. Microsoft precisa che classic Outlook, Word ed Excel continuano a funzionare e che il problema appare più probabile su PC nuovi o appena reinstallati che non abbiano ancora ricevuto gli aggiornamenti del Microsoft Store. Il workaround ufficiale consiste nell’aprire lo Store, controllare gli aggiornamenti e installare Auto Super Resolution Package 1.0.19.0 o successivo. Microsoft prepara una correzione definitiva attraverso un futuro aggiornamento Windows. L’incidente segue altri problemi Microsoft 365 nei quali Outlook, SharePoint e OneDrive avevano già subito anomalie di ricerca dopo un deployment, ma in questo caso il difetto è limitato all’avvio delle due applicazioni su architettura Arm.

Defender for Office 365 ha bloccato per errore URL legittimi di Google Search

Un terzo sviluppo, ancora una volta indipendente dai primi due, ha interessato Microsoft Defender for Office 365 Safe Links. L’incidente, identificato come MO1465962, ha causato la classificazione erronea di normali URL di Google Search come collegamenti malevoli. Gli utenti potevano ricevere l’avviso “Opening this website might not be safe”, mentre gli amministratori vedevano alert correlati nel portale Defender e in Microsoft Sentinel. Microsoft ha individuato come causa una classificazione di sicurezza inaccurata, non un attacco contro Google né una compromissione dei risultati di ricerca. Safe Links effettua controlli time-of-click sui collegamenti presenti in email e servizi Microsoft 365 e, in questo caso, il sistema di classificazione ha prodotto un falso positivo. Nella notte tra il 2 e il 3 settembre Microsoft ha dichiarato completata la correzione, precisando che alcuni utenti avrebbero potuto continuare a osservare temporaneamente l’effetto mentre la mitigazione si propagava nell’infrastruttura. Il problema mostra il lato opposto delle difese automatiche: sistemi progettati per bloccare phishing e URL ostili possono creare incidenti operativi significativi quando una classificazione errata viene applicata a domini utilizzati su larga scala. Safe Links rimane comunque una delle difese utilizzate contro campagne AiTM e phishing avanzato, come quella basata su falsi “Codici di condotta” che aveva sottratto token a migliaia di utenti Microsoft 365.

Continua con:

• TerminalFix trasforma un falso CAPTCHA in un reverse tunnel dentro la rete aziendale
• SparkRAT usa payload nascosti nei PNG e tenta di neutralizzare gli antivirus

Tre problemi Microsoft che richiedono risposte completamente diverse

La contemporaneità dei tre eventi rischia di produrre una lettura sbagliata se vengono trattati come manifestazioni dello stesso problema. La campagna dei falsi installer è una minaccia reale che richiede incident response, controllo dei download, verifica delle exclusion di Defender, integrità dei servizi Windows Update e ricerca della persistenza. Il crash di Teams e nuovo Outlook sui sistemi Arm è invece una regressione di Windows per la quale Microsoft ha già fornito una mitigazione attraverso il Microsoft Store. Il blocco dei collegamenti Google Search da parte di Safe Links è infine un falso positivo lato cloud che Microsoft considera risolto.

La distinzione operativa è essenziale. Un endpoint che ha eseguito uno degli installer contraffatti non deve essere “riparato” limitandosi a riabilitare Windows Update o rimuovere un’esclusione antivirus: deve essere considerato potenzialmente compromesso, perché Microsoft ha osservato persistenza, C2, movimento laterale e attività interattiva. Allo stesso tempo, disinstallare aggiornamenti di sicurezza per risolvere i problemi Teams e Outlook non rappresenta più la strada preferibile, dato che Microsoft indica una mitigazione specifica tramite il pacchetto Auto Super Resolution. Il quadro di settembre mostra così entrambe le facce della sicurezza Windows: attaccanti che cercano deliberatamente di disarmare le protezioni e aggiornamenti o classificatori legittimi che possono introdurre problemi propri. Confondere i due livelli porta a risposte sbagliate; distinguerli permette invece di capire quando serve bonificare un sistema e quando è sufficiente applicare la correzione fornita dal produttore.