Группа исследователей кибербезопасности выявила серию целенаправленных атак на организации в китайскоязычных регионах, включая Гонконг, Тайвань и материковый Китай. Вредоносная кампания использует многоступенчатый загрузчик PNGPlug, который доставляет продвинутый троян ValleyRAT, связанный с угрозой Silver Fox APT. Атаки отличаются высокой степенью изощренности, включая обфускацию, антиэмуляционные техники и механизмы противодействия обнаружению.
Описание
Атака начинается с фишинговой веб-страницы, где пользователям предлагают загрузить вредоносный MSI-пакет, замаскированный под легитимное программное обеспечение. После установки пакет выполняет две ключевые задачи: развертывает безобидное приложение, чтобы создать видимость нормальной работы, и распаковывает зашифрованный архив, содержащий вредоносный код. Этот подход позволяет злоумышленникам обходить базовые системы защиты, так как антивирусные решения могут пропускать MSI-файлы из-за их легитимного использования в корпоративной среде.
Особую опасность представляет загрузчик PNGPlug, который играет центральную роль в атаке. Он не только создает среду для выполнения вредоносного кода, но и патчит системную библиотеку ntdll.dll для инъекции в память. Кроме того, загрузчик анализирует командную строку для расшифровки и выполнения содержимого файла aut.png или внедрения его в новый процесс. Важно отметить, что PNGPlug активно проверяет наличие антивирусного ПО и при необходимости маскируется под него, что значительно усложняет его обнаружение.
Основной вредоносный инструмент, используемый в этой кампании, - ValleyRAT. Это многофункциональный троян, связанный с группировкой Silver Fox APT, которая известна своей активностью в Азиатско-Тихоокеанском регионе. ValleyRAT обладает широким набором возможностей, включая выполнение произвольного шелл-кода, обфускацию, повышение привилегий и механизмы устойчивости. Аналитики отмечают, что злоумышленники используют его для мониторинга действий пользователей, кражи данных и потенциальной установки дополнительного вредоносного ПО, такого как Gh0st RAT.
Исследователи связывают эту кампанию с Silver Fox APT на основе характерных тактик, техник и процедур (TTP). Группа ранее применяла схожие методы, включая фишинговые атаки и использование сложных загрузчиков. Кроме того, наблюдаются пересечения с другими известными инструментами, которые использовались в предыдущих операциях, что позволяет с высокой вероятностью атрибутировать атаку именно этой группировке.
Эксперты по кибербезопасности рекомендуют организациям усилить защиту от фишинга, внедрить многофакторную аутентификацию и регулярно обновлять системы для защиты от уязвимостей. Также важно обучать сотрудников распознаванию подозрительных писем и веб-страниц, поскольку социальная инженерия остается ключевым вектором атак. В условиях роста сложности угроз подобного уровня критически важно применять комплексные решения для мониторинга и реагирования на инциденты, чтобы минимизировать потенциальный ущерб.
Данная кампания демонстрирует, что киберпреступники продолжают совершенствовать свои методы, используя сложные механизмы загрузки и маскировки. Это подчеркивает необходимость постоянного развития систем защиты и сотрудничества между компаниями и экспертами по кибербезопасности для противодействия новым угрозам.
Индикаторы компрометации
