Серебряный лис охотится на китайскоязычных пользователей: поддельные сайты, краденый сертификат и бесфайловый Atlas RAT

Особую тревогу вызывает тот факт, что все обнаруженные пакеты установки подписаны похищенным сертификатом расширенной проверки (EV-сертификат), выданным вьетнамской компании DUC FABULOUS CO.,LTD. Это придаёт вредоносному файлу видимость легитимности: он не вызывает подозрений ни у пользователей, ни у автоматических систем проверки. Сертификат действителен до мая 2027 года и, судя по всему, циркулирует в криминальной среде, а не используется исключительно Silver Fox. Такая практика указывает на наличие теневого рынка краденых подписей.

Схема атаки начинается с того, что жертва попадает на один из подставных сайтов, адрес которого отличается от настоящего всего на пару символов (так называемый тайпсквоттинг). Страницы выглядят убедительно - дизайн и брендинг скопированы, крупные кнопки загрузки ведут к архиву. Внутри архива находится трёхуровневый установщик, созданный с помощью легитимного инструмента Setup Factory. Первый уровень - обёртка, которая извлекает второй уровень, а тот уже запускает троянизированную программу-загрузчик и легитимное приложение-приманку (как правило, UltraViewer - программу для удалённого доступа). Такая вложенность существенно усложняет анализ и обход песочниц.

Ключевым элементом загрузчика является файл Schools.exe - взломанный установщик Autodesk. Исследователи обнаружили, что оригинальная программа была собрана на сервере непрерывной интеграции Autodesk и впоследствии украдена и модифицирована. Из примерно двухсот функций в бинарном файле лишь пять принадлежат атакующим. Вся остальная часть - это оригинальный код Autodesk, выступающий в роли "мёртвого груза", который маскирует вредоносную логику и делает бинарный файл похожим на обычную программу. Точка входа перенаправлена на шелл-код, который разрешает необходимые API-вызовы через динамический поиск в процессе (PEB walking) с использованием хэширования ROR13, полностью минуя статическую таблицу импорта.

Шелл-код извлекает зашифрованную конфигурацию, применяя позиционно-зависимую схему XOR. В расшифрованном блоке обнаруживается адрес C2-сервера (командного центра) - bifa668.com и порт 9899. Затем загрузчик устанавливает TCP-соединение и передаёт 8-байтовый маяк (SFuck), после чего получает 386 килобайт второго этапа - шелл-код, содержащий рефлексивный загрузчик PE и непосредственно библиотеку Atlas RAT. Весь процесс проходит без записи на диск: финальная полезная нагрузка существует только в оперативной памяти.

Сам RAT имеет внутреннее название MainDll.dll и размер 272 КБ. Его единственная экспортируемая функция AtlasInfo запускает инициализацию: создаёт мьютекс для предотвращения повторного запуска, выполняет WMI-запрос к видеокарте (вероятно, для обнаружения виртуальной среды), получает привилегию SeShutdownPrivilege для возможности перезагрузки системы и запускает три параллельных потока. Первый поток непрерывно перебирает активные TCP-соединения и принудительно разрывает те, что принадлежат китайским продуктам безопасности: 360 Safe, Huorong, Kingsoft и QQ PC Manager. Интересно, что злоумышленники перешли от грубого уничтожения процессов (которое они использовали ранее) к хирургическому разрыву сетевых соединений - антивирусы остаются запущенными, но теряют связь с облачными базами и не могут получить обновления сигнатур.

Второй поток реализует фреймворк PowerChell. Вместо запуска powershell.exe троян встраивает среду выполнения .NET CLR (Common Language Runtime) прямо в свой процесс. Он загружает сборку System.Management.Automation из глобального кэша сборок (GAC) и получает полный доступ к возможностям PowerShell, не порождая новый процесс интерпретатора. Перед выполнением любых команд PowerChell отключает четыре механизма защиты: AMSI (антивирусный интерфейс сканирования), ETW (трассировку событий Windows), режим ограниченного языка (Constrained Language Mode) и журналирование ScriptBlock. Таким образом злоумышленники получают полностью неограниченную среду PowerShell, невидимую для стандартных средств мониторинга.

Третий поток - основной цикл связи с командным центром. Трафик шифруется алгоритмом ChaCha20 с использованием случайных ключей, генерируемых для каждого пакета через аппаратный генератор случайных чисел (rdrand). Если полезная нагрузка превышает 10 КБ, она дополнительно сжимается zlib. В заголовке пакета передаётся ключ и nonce, что позволяет серверу расшифровать сообщение. Команды диспетчеризуются через виртуальную таблицу CKernelManager и включают удалённое управление сессиями, захват экрана, инжекцию процессов, скачивание и выполнение файлов, а также файловые операции. Предусмотрен и резервный HTTP-канал с user-agent "Mozilla/4.0 (compatible)".

Отдельно стоит отметить функцию внедрения DLL в процесс WeChat. При получении соответствующей команды троян записывает переданную DLL в каталог C:\Users\Public\Documents\Wxfun.dll и использует классическую технику CreateRemoteThread для её загрузки в адресное пространство WeChat.exe. Цель такого внедрения может быть разной - от перехвата сообщений до кражи учётных данных и токенов сессий. После завершения работы вредоносная DLL выгружается и файл удаляется.

Персистентность обеспечивается созданием задания в планировщике Windows по пути \Microsoft\Windows\AppID. Этот путь замаскирован под стандартные системные задачи. Имя исполняемого файла обфусцировано: каждый символ заключён в кавычки, что не мешает Windows его корректно выполнять, но сбивает с толку правила сигнатурного обнаружения. Механизм самоудаления использует манипуляцию приоритетами: троян поднимает свой приоритет до REALTIME, а затем запускает cmd.exe с пониженным приоритетом IDLE, который выполняет команду задержки ping и последующего удаления файла по короткому пути 8.3.

Список подтверждённых подставных доменов включает app-zoom.com, signal-signal.com, telegrtam.com.cn, trezor-trezor.com, www-surfshark.com, www-teams.com и другие. Большинство из них зарегистрировано через компанию Gname.com, расположено в диапазоне IP 38.165.24.0/21 и использует общую пару DNS-серверов a.share-dns.com / b.share-dns.net. Несколько доменов были зарегистрированы в один день - 27 октября 2025 года, что указывает на пакетную закупку инфраструктуры. Позднее кампания расширялась, появлялись новые домены. К моменту публикации некоторые из них уже перестали резолвиться, что свидетельствует о продуманной ротации.

Анализ образцов RAT DLL показал, что кампания активна как минимум с ноября 2025 года по март 2026-го, причём самый свежий образец был обнаружен всего за день до публикации отчёта. Это говорит о непрерывном, высокотемповом характере операции. Специалисты отмечают, что группировка заметно эволюционировала: внешний установщик сменился с Inno Setup на Setup Factory, завершение процессов через BYOVD (использование уязвимых драйверов) уступило место избирательному разрыву TCP-соединений, а базовый Gh0st RAT превратился в сложный фреймворк с нативным хостингом .NET и полным отключением защитных механизмов. Каждое изменение закрывает конкретные методы обнаружения, которыми раньше пользовались защитники, что говорит о возросшем уровне компетенции атакующих.

Для организаций, в чьих сетях работают китайскоязычные пользователи, эта угроза является актуальной и требует немедленного развёртывания мер безопасности. Специалисты рекомендуют блокировать на межсетевых экранах и DNS-шлюзах все известные C2-домены и IP-адреса, а также внедрить правила Suricata/Snort для сигнатуры начального маяка SFuck. Поведенческий мониторинг должен включать выявление загрузки библиотеки System.Management.Automation.dll процессами, отличными от powershell.exe - это один из наиболее точных признаков работы PowerChell. Присутствие в системной директории C:\Windows исполняемых файлов со случайными именами длиной 5-9 символов и конфигурационных файлов AtlasPro.ini или MODIf.html в каталоге Public Documents также должно быть немедленно расследовано.