Атака Silver Fox: поддельные установщики несут майнер и удалённый доступ для госпредприятий Китая

Атака отличается продуманной многоэтапностью и устойчивостью. После запуска поддельного установщика вредоносный код размещает несколько компонентов в системных папках. Среди них - драйвер, замаскированный под изображение. Этот драйвер принадлежит легитимному, но уязвимому программному продукту. Используя его, злоумышленники отключают защитные механизмы, в том числе антивирусы и EDR-системы (решения для обнаружения и реагирования на угрозы на конечных устройствах). Такой приём известен как BYOVD - использование собственного уязвимого драйвера. Он позволяет обойти защиту, не прибегая к сложным эксплойтам. Помимо этого, драйвер загружается в систему как служба, что даёт ему высокие права.

По данным платформы SEID, кампания активна с апреля и затронула несколько центральных предприятий. Платформа представляет собой пространство для обмена информацией об угрозах среди государственных компаний. Информацию предоставили, в частности, China National Coal Group, Sinochem и Harbin Electric Corporation. Атакующие применяют легитимный облачный сервис для доставки последующих вредоносных файлов, что затрудняет обнаружение. Кроме того, они подделывают политики управления приложениями Windows, чтобы ещё больше ослабить защиту. Такие политики обычно ограничивают запуск нежелательных программ, но злоумышленники используют их в своих интересах. Это снижает эффективность стандартных средств защиты.

Цепочка атаки состоит из трёх стадий. Сначала происходит первоначальное заражение. Затем следует отключение защитных инструментов и закрепление в системе. Наконец, запускается майнер. На второй стадии злоумышленники получают высокие привилегии через обход контроля учётных записей (UAC bypass). После этого они загружают уязвимый драйвер как службу. Этот драйвер даёт возможности на уровне ядра. Он может завершать процессы, читать и записывать файлы, внедрять код в другие процессы. С такими правами атакующие отключают Windows Defender и Windows Update, удаляют теневые копии и изменяют системный файл, отвечающий за сопоставление доменных имён и IP-адресов. Эти действия готовят систему к длительному присутствию. Такие действия делают систему уязвимой для дальнейших атак.

Для сохранения присутствия атакующие используют реестр Windows и планировщик заданий. Они также применяют бесфайловую технику: злоумышленники расшифровывают основную полезную нагрузку Gh0stRAT и внедряют её прямо в память, не оставляя файла на диске. Это крайне затрудняет анализ и удаление. Майнер, основанный на XMRig, защищён модифицированным упаковщиком. При этом майнер начинает работу только после передачи определённого параметра командной строки. Злоумышленники обфусцируют сетевой трафик, используя многослойное кодирование и шифрование. Это помогает обходить мониторинг трафика. Кроме того, майнер поддерживает добычу нескольких криптовалют.

Атакующие используют трёхуровневую архитектуру командно-контрольных серверов (C2). Это означает, что управляющие серверы скрыты за несколькими промежуточными узлами. Такая схема усложняет блокировку и отслеживание источника команд. Для связи с C2 применяется многоступенчатое шифрование. Даже если один узел будет обнаружен, злоумышленники быстро переключаются на резервный. В результате время жизни инфраструктуры атаки увеличивается, а усилия по её нейтрализации растут. Понимание этой архитектуры помогает защитникам выстраивать более эффективные стратегии обнаружения. Это повышает устойчивость кампании.

Целями становятся в первую очередь государственные предприятия Китая, однако методы могут быть применены против любой организации. В частности, атакующие подделывают установщики японских программ, таких как NumLockLock и приложения Panasonic, а также китайских ИИ-сервисов, например Doubao. Такие программы часто используются в корпоративной среде, что повышает шансы на успех. Это указывает на широкую стратегию, рассчитанную на пользователей, скачивающих ПО из неофициальных источников. Риски включают несанкционированный доступ к конфиденциальным данным, нарушение бизнес-процессов из-за майнинга и потенциальное боковое перемещение внутри сети. Наличие программы удалённого доступа позволяет красть информацию, устанавливать дополнительное вредоносное ПО или использовать сеть для дальнейших атак. Ущерб может быть значительным.

Для защиты от подобных угроз организациям следует регулярно обновлять программное обеспечение и средства безопасности. Необходимо ограничить использование уязвимых драйверов и следить за подозрительной сетевой активностью. Сотрудникам стоит загружать программы только с официальных сайтов и проверять цифровые подписи. Двухфакторная аутентификация и принцип наименьших привилегий снижают возможный ущерб. Регулярные аудиты безопасности и обучение сотрудников также помогают снизить риск. Помимо этого, важно регулярно проверять целостность системных файлов. Поскольку злоумышленники используют легитимные облачные сервисы, полная блокировка невозможна; требуется поведенческий анализ.

Эта кампания показывает рост сложности комбинированных угроз, сочетающих удалённый доступ и скрытый майнинг. Майнинг обеспечивает атакующим постоянный доход, а программа удалённого доступа даёт гибкость для будущих операций. Использование уязвимых драйверов и бесфайловых техник говорит о высоком уровне подготовки. Для государственных предприятий, обладающих ценными данными и критической инфраструктурой, такие атаки представляют серьёзную опасность. Сотрудничество между компаниями, подобное платформе SEID, помогает обмениваться данными об угрозах и повышать коллективную защиту. Следовательно, бдительность и обмен информацией остаются ключевыми.