Silver Fox APT

Odborníci na kybernetickou bezpečnost odhalili pokročilou a vyvíjející se phishingovou kampaň zaměřenou především na uživatele na Tchaj-wanu. Tato operace, kterou zorganizovala skupina kybernetických útoků identifikovaná jako Silver Fox APT, využívá dokumenty s malwarem a klamavé e-maily k doručování řady nebezpečných trojských koní pro vzdálený přístup (RAT), včetně HoldingHands RAT a Gh0stCringe, což jsou obě varianty nechvalně známého Gh0st RAT .

Phishing se známou tváří: Vydávání se za vládní orgány

Útok začíná phishingovými e-maily, které se vydávají za oficiální subjekty, jako je tchajwanský Národní daňový úřad. Tyto e-maily často obsahují témata související s daněmi, fakturami nebo důchody, aby zneužily důvěru příjemců a vyzvaly je k otevření připojených souborů. V některých variantách slouží vložené obrázky jako spouštěče pro stažení malwaru po kliknutí, což představuje posun od tradičních lákadel založených na dokumentech.

Dokumenty zneužité jako zbraně: PDF a ZIP soubory jako nástroje pro doručování malwaru

Primárními mechanismy doručování jsou škodlivé PDF dokumenty nebo ZIP archivy připojené k phishingovým e-mailům. Tyto soubory obsahují odkazy přesměrující uživatele na stránky ke stažení obsahující ZIP soubory s obsahem:

• Legitimně vypadající spustitelné soubory
• Zavaděče shellcode
• Šifrovaný shellcode

Po spuštění tyto komponenty spolupracují na nasazení malwaru bez vyvolání poplachů.

Vícestupňový infekční řetězec: Klam ve vrstvách

Infekce probíhá v několika sofistikovaných fázích:

Aktivace zavaděče shellcode : Zavaděč shellcode dešifruje a inicializuje vložený shellcode.

Boční načítání DLL souborů : Legitimní binární soubory jsou zneužívány k bočnímu načítání škodlivých DLL souborů, čímž se malware skryje na očích.

Anti-VM a eskalace oprávnění : Tyto techniky zajišťují, že malware se vyhne detekci v sandboxových prostředích a zajistí zvýšená systémová oprávnění.

Užitečné zatížení a účel: Špionáž a kontrola

Finální datová část obsahuje soubor s názvem „msgDb.dat“, který funguje jako primární modul velení a řízení (C2). Jakmile je aktivní:

• Shromažďuje citlivé uživatelské informace
• Stahuje další komponenty
• Umožňuje ovládání vzdálené plochy
• Spravuje soubory v infikovaném systému

Tyto schopnosti naznačují záměr udržovat dlouhodobý přístup a dohled nad napadenými stroji.

Vyvíjející se taktiky: Konzistentní inovace od Silver Fox APT

Silver Fox APT neustále zdokonaluje svou sadu nástrojů a útočné techniky, jak je patrné z jeho využití:

• Rámec Winos 4.0
• Šíření Gh0stCringe prostřednictvím stránek pro stahování HTM
• HoldingHands RAT (také známý jako Gh0stBins)

Spoléhání skupiny na komplexní shellcode, vrstvené zavaděče a různé doručovací vektory ukazuje na vytrvalou snahu vyhnout se odhalení a maximalizovat úspěšnost infiltrace.

Závěr: Obezřetnost je klíčová proti sofistikovaným aktérům hrozeb

Tato kampaň zdůrazňuje rostoucí sofistikovanost APT skupin, jako je Silver Fox. Využíváním důvěryhodných šablon, klamavých formátů souborů a nenápadných technik provádění útoků představují tito aktéři vážnou hrozbu pro cílové organizace. Neustálé monitorování, včasné aktualizace a robustní zabezpečení e-mailů jsou klíčovými obranami proti těmto vyvíjejícím se hrozbám.