Группировка Silver Fox G03 развернула кампанию против пользователей китайского приложения для биржевой торговли Tonghuashun. Подставные сайты выглядели как официальная страница загрузки и попадали в поисковую выдачу. Вместе с программой на машину попадал троян удалённого доступа. В зоне риска оказались частные инвесторы, которые искали клиент через поиск, а не по прямой ссылке.
Описание
Домены-двойники строились вокруг официального адреса. В именах цифры заменяли на похожие буквы, поэтому ссылка с ходу читалась как настоящая. Смена одного символа не бросается в глаза ни в адресной строке, ни в тексте пересылаемой ссылки. Взламывать инфраструктуру разработчика не требуется: достаточно зарегистрировать похожее имя и вывести его в топ выдачи. Подделку выдавал только полный адрес.
По данным CNCERT, с 4 октября по 2 ноября 2026 года группировка удерживала под контролем 25 164 хоста в Китае. Отчёт подготовили совместно с пекинской компанией Guancheng Technology. Речь о машинах, которыми управляли удалённо, а не о числе посещений сайтов-двойников. Кампания шла чуть больше месяца и за это время не прерывалась.
Архив, скачанный с подставной страницы, содержал единственный исполняемый файл. При запуске он распаковывал во временную папку два других. Один маскировался под системный компонент Windows. Второй нёс цифровую подпись и имя, похожее на обозначение версии самой программы: такой файл реже вызывает вопросы у средств защиты.
Файл под системным именем прописывал себя в автозапуск текущего пользователя. Затем он открывал TCP-соединение с сервером управления и отправлял один байт-маркер. Ответом приходила полезная нагрузка, и она исполнялась в памяти, не оставляя файла на диске. В пиковые сутки через эту инфраструктуру проходило около 2,5 миллиона обращений.
Полученный модуль умеет снимать экран, перехватывать нажатия клавиш, выполнять команды и доустанавливать плагины. Перехват клавиатуры в связке с удалённым запуском команд даёт чужим людям доступ к учётным данным и позволяет действовать на машине от имени владельца. У кампании зафиксирован второй вариант цепочки: загрузчик метит запрос другим байтом и получает иной финальный модуль. Предположительно инструментарий правят на ходу.
Часть серверов управления к моменту выхода отчёта была неактивна, поэтому проверка по старым адресам даст неполную картину. Как именно считали хосты, не раскрыто: это могут быть уникальные машины, а могут быть повторные обращения одной и той же. Что группировка делала с собранными данными дальше, тоже не установлено.
Для проверки стоит начать с автозапуска пользователя и временных каталогов. Ищите запись SystemKKfile и файлы Microsoft.exe, THS.exe и подписанный установщик рядом с ними. На сетевом периметре проверяйте обращения к перечисленным доменам и IP, особенно на нестандартные порты 7777, 2026 и 6789. Если хост уже заражён, одного удаления файлов мало: нужно сменить пароли, проверить сессии и искать следы удалённого управления в журналах.
Индикаторы компрометации
