Главная страница » Индикаторы компрометации
0
1 минута
Индикаторы компрометации

ValleyRAT прячется за налоговыми документами и подписанными программами

ValleyRAT прячется за налоговыми документами и подписанными программами

Кампания Silver Fox с августа по октябрь 2026 года распространяла бэкдор ValleyRAT - программу удалённого управления чужой машиной. Приманкой служат налоговые документы, которые получают сотрудники, работающие с отчётностью и платежами. Открытие такого файла даёт оператору доступ к системе и возможность закрепиться в ней надолго.

Описание

По данным VMRay Labs, специалисты разобрали 44 сборки загрузчика и расшифровали все конфигурации. Двадцать пять сборок обращаются к пяти серверам управления и относятся к одной операции. Остальные сборки в разборе не группируются.

Загрузчик приходит в ZIP-архиве или образе диска. Внутри лежит настоящая подписанная программа, обычно переименованная под номер налогоплательщика, а рядом - неподписанная библиотека. Подписанный файл загружает её через DLL side-loading: доверенная программа подхватывает чужой код, потому что ищет библиотеку в своей папке. Проверку подписи проходит только основной файл, и на этом держится обман. Исследователи просят не блокировать сами подписанные файлы - они легитимны, проверять нужно соседние библиотеки.

У двенадцати сборок иконка от пустой испанской программы, поверх которой стоит печать Министерства внутренней безопасности США. Загрузчик эту иконку не показывает. Зачем она нужна, в разборе не сказано.

После запуска ValleyRAT хранит ядро в реестре текущего пользователя и закрепляется через задачу планировщика. Имя задачи имитирует служебный компонент NVIDIA, поэтому в списке автозапуска выглядит штатно. Ядро в реестре переживает перезагрузку, а задача возвращает его к работе.

Конфигурация сборки начинается с group ID в открытом виде. Прочитанный задом наперёд, он даёт ключ RC4 - поточного шифра - для остальных данных. Из-за этого аналитики смогли расшифровать конфигурации всех сборок и разложить их по операциям.

Регистрационные записи доменов операции указывают на одну организацию и одного регистратора. Ещё один домен связан с той же учётной записью и, вероятно, принадлежит тому же оператору. Сборки также сходятся на общем адресе доставки.

Связь с Silver Fox исследователи называют очень вероятной, но уверенность умеренная. Она держится на косвенных признаках: записях регистрации, общем адресе доставки и налоговой странице, которая вела на хост с загрузчиками. Сколько машин заражено и какие данные уходили оператору, не установлено.

Для защиты стоит искать не только сам ValleyRAT, но и следы загрузчика. Проверяйте неподписанные библиотеки рядом с переименованными подписанными программами, особенно в каталогах обновлений и временных папках. В реестре ищите ключ HKCU\Console\0 и значение 389126097FFFEF316D35ACD0610E5F31. В планировщике проверяйте задачи с именем NvContainer.NvapiMonitor.GUID: они имитируют компонент NVIDIA, но созданы не вендором.

Сетевую часть удобно проверять по доменам и IP из таблицы ниже. Часть адресов помечена как Block, часть - как Hunt: их можно использовать для поиска, но не для постоянной блокировки. Значения с датами стоит сверять с журналами за конкретный период. Сами подписанные программы и легитимные файлы в таблицу не включены, чтобы не блокировать работу пользователей.

Если в компании есть DLP или прокси, дополнительные правила можно построить на группах из конфигурации и на шаблоне мьютекса. Но сначала проверьте, не совпадает ли найденное значение с обычной активностью: часть индикаторов относится к соседним кампаниям и общим серверам.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
10.04.2025
Индикаторы компрометации

Тенденции марта 2025 года в области фишинговых писем

phishing
Наиболее распространенным типом угрозы среди фишинговых писем был фишинг, при котором злоумышленники используют скрипты, такие как HTML, чтобы подделать макет экрана, логотипы и шрифты страниц входа в систему и рекламных страниц.
0
20.09.2026
Индикаторы компрометации

Новый вымогатель PlikanLocker блокирует Windows и использует Telegram для сбора выкупа

Новый вымогатель PlikanLocker блокирует Windows и использует Telegram для сбора выкупа
Вредоносная программа PlikanLocker, обнаруженная в начале 2026 года, блокирует компьютеры под управлением Windows. Она не только шифрует пользовательские файлы, но и полностью блокирует работу с системой.
0
30.01.2023
Индикаторы компрометации

BeamWinHTTP Malware IOCs - Part 3

BeamWinHTTP Malware IOCs - Part 3
BeamWinHTTP - это вредоносная программа-загрузчик, распространяется через вредоносное ПО, замаскированное под PUP-установщик. При его выполнении он устанавливает вредоносную программу PUP Garbage Cleaner
0
07.04.2026
Индикаторы компрометации

Группа Silver Fox наращивает активность в Южной Азии, сочетая кибершпионаж и финансовые атаки

Silver Fox
Граница между государственным кибершпионажем и коммерческим киберкриминалом продолжает размываться, создавая новые вызовы для специалистов по информационной безопасности.