Троян Silver Fox проникает в корпоративные сети через действующую цифровую подпись коммерческой компании и загрузку файлов с популярного облачного сервиса. Оба признака выглядят для защитных систем как повседневная норма. Запуск одного подписанного файла даёт атакующим полный удалённый доступ к компьютеру. Целями остаются бухгалтеры, менеджеры, сотрудники финансовых отделов - люди с доступом к платёжной информации и внутренней переписке.
Описание
Цепочка начинается с исполняемого файла объёмом около 156 килобайт. Его заверил сертификат небольшой китайской фирмы, выданный за считаные дни до атаки. Средства защиты, которые проверяют только наличие подписи или репутацию файла, пропускают его без вопросов. Перед основной работой программа проверяет обстановку: замеряет скорость простого вычислительного цикла, ищет признаки отладчика, изучает следы виртуальных машин, сопоставляет число ядер процессора с объёмом оперативной памяти. Отдельное требование - присутствие живого человека. В течение минуты пользователь должен сдвинуть курсор и нажать кнопку мыши. Без этого загрузчик молча завершает работу.
Все проверки пройдены - файл запрашивает повышение прав через стандартное системное окно подтверждения и перезапускается скрыто. Затем он расшифровывает встроенный адрес и скачивает следующую часть с облачной платформы для общения с клиентами. Со стороны это выглядит как обычное вложение из переписки поддержки. Блокировка по домену здесь не работает: через тот же сервис ежедневно идут тысячи законных сообщений.
Вторая часть весит меньше трёх килобайт и не содержит перечня системных функций, к которым обращается. Нужные вызовы она разыскивает самостоятельно при запуске, перебирая загруженные библиотеки. Такой подход лишает антивирусы и системы мониторинга привычных признаков. Настройки спрятаны внутри кода в перевёрнутом виде, и программа собирает их обратно уже на заражённой машине. Связь с командно-контрольными серверами, как показал разбор Rising, идёт по двум каналам сразу: потоковому и разбитому на отдельные блоки. Данные приходят зашифрованными, а повторы при обрыве выполняются без пауз и ограничений по числу попыток.
Третья и главная часть - модуль удалённого управления с китайскоязычными надписями. В виде файла он на диск не попадает: код разворачивается прямо в оперативной памяти, поэтому проверка носителей ничего не находит. Для сокрытия модуль внедряется в штатный служебный процесс Windows, который отвечает за сбор журналов и трассировку. Раз в три секунды он проверяет, жив ли носитель, и при завершении процесса внедряется в новый экземпляр.
Управление идёт через три сервера. Два из них используются поочерёдно, третий подключается каждый двухсотый сеанс. Раз в десять секунд модуль отправляет короткий сигнал проверки. Если ответа нет минуту, сеанс считается потерянным и связь строится заново. Поверх протокола без гарантий доставки реализована собственная надёжная передача: подтверждения приёма, повторная отправка потерянных блоков и подстройка времени ожидания под текущую скорость канала. Настройки и саму полезную нагрузку троян складывает в системный реестр, поэтому после перезагрузки возвращается к работе без обращения к серверу.
Семейство Silver Fox известно с 2022 года. Для доставки применяют сообщения в мессенджерах, письма с вложениями, поддельные сайты и страницы, которые выдают вредоносную программу за популярную утилиту. Обращения готовят под конкретного сотрудника: бухгалтера просят сверить счёт, менеджера - открыть коммерческое предложение, руководителя - подписать документ. Такой приём называют целевым фишингом, и для заражения хватает одного неосторожного действия.
Ущерб от подобных атак измеряется не только простоем. Атакующие получают доступ к документам, переписке и платёжным системам, а их присутствие в сети может оставаться незамеченным месяцами. Компаниям имеет смысл ограничить запуск исполняемых файлов из почты и мессенджеров, сократить права рядовых сотрудников и включить контроль сетевых соединений на выходе. Обучение персонала тоже даёт результат: сотрудник должен понимать, что подпись и знакомый домен не гарантируют безопасность вложения. Средства Rising ESM уже распознают образцы этой кампании, а платформы, которые связывают события на конечных устройствах в общую картину, помогают восстановить ход атаки и найти её источник.
Индикаторы компрометации
