Il gruppo di cybercrime SilverFox è stato osservato mentre prendeva di mira un’organizzazione giapponese del settore manifatturiero industriale con una catena di attacco avanzata basata su BYOVD (bring your own vulnerable driver) e su tecniche di DLL sideloading, con l’obiettivo finale di installare ValleyRAT (noto anche come Winos 4.0) per ottenere accesso remoto persistente ai sistemi compromessi.
La campagna parte da un phishing a tema fattura, elemento tipico nelle intrusioni mirate alle aziende, che induce la vittima ad aprire un archivio ZIP. Il contenuto malevolo sfrutta risorse ospitate su servizi legittimi come QQ e Tencent Cloud, riducendo i sospetti e aumentando la probabilità di consegna.
All’interno dell’archivio è presente un downloader che scarica componenti aggiuntivi necessari a completare il caricamento laterale di DLL. Il cuore della strategia di evasione è l’abuso di driver vulnerabili per ottenere accesso a livello kernel e indebolire i controlli di sicurezza sul computer infetto. In questa ondata, oltre a driver già visti in precedenza, emergono BootRepair.sys ed EnPortv.sys, inseriti in un framework modulare a tre driver. Questa scelta rende l’implementazione BYOVD più resiliente e sostituibile, permettendo agli operatori di cambiare driver in base all’ambiente e alle difese incontrate senza riscrivere l’intero flusso di attacco.
Il sideloading avviene tramite eseguibili legittimi usati come loader, che caricano una DLL malevola capace di incorporare e distribuire i driver. Per ostacolare le soluzioni EDR, il malware esegue anche NTDLL unhooking, rimuovendo gli hook in user mode che monitorano le chiamate alle API di Windows. A questo si aggiungono tecniche come process injection, memorizzazione del payload nel registro e un meccanismo di persistenza tramite attività pianificate.
Un aspetto distintivo è la presenza di due watchdog indipendenti. Un componente interno monitora il payload iniettato, mentre uno script esterno controlla il loader e lo riavvia se viene terminato. In pratica, eliminare un solo elemento non basta a neutralizzare l’intrusione, perché l’altro componente ripristina rapidamente la catena. Il payload finale, ValleyRAT, è una variante di Gh0st RAT e fornisce funzionalità di comando e controllo, esecuzione di task e ulteriori capacità post-compromissione, rendendo la minaccia particolarmente critica per ambienti industriali e reti aziendali.