كشفت تقارير أمنية حديثة أن مجموعة القرصنة الصينية المعروفة باسم Silver Fox شنت حملة جديدة ضد مؤسسة صناعية يابانية، مستخدمةً سلسلة معقدة من تقنيات Bring Your Own Vulnerable Driver (BYOVD) تضم ثلاثة برامج تشغيل ضعيفة، إلى جانب آليات تحميل DLL وتجاوز دفاعات أمنية، بهدف تثبيت برمجية الوصول عن بُعد ValleyRAT (المعروفة أيضاً باسم Winos 4.0).
أسلوب الهجوم وسلسلة الاختراق
بدأت الحملة عبر رسائل تصيّد إلكتروني تحمل طابع الفواتير، مستضافة على خدمات شرعية مثل QQ و Tencent Cloud، لتفعيل سلسلة تحميل DLL عبر أرشيف مضغوط. هذا الأرشيف يحتوي على برنامج تنزيل يجلب مكونات إضافية من بنية تحتية يسيطر عليها المهاجمون، قبل أن يتم استغلال تقنية BYOVD للحصول على وصول إلى النواة وتعطيل أدوات الحماية. البرمجية الخبيثة PDFCORE8.dll، التي يتم تحميلها جانبياً بواسطة تطبيقات مثل ConvertToPDF.exe و PDFDirect.exe، تضمنت ثلاثة برامج تشغيل ضعيفة:
- BootRepair.sys
- EnPortv.sys
- wsftprm.sys
هذا الدمج حوّل الهجوم إلى إطار عمل معياري متعدد السواقات، يسمح باستبدال أي برنامج تشغيل بآخر مع الحفاظ على سير العمل.
تقنيات التهرب والاستمرارية
الهجوم تميز باستخدام عدة تقنيات متقدمة:
- إلغاء ربط NTDLL لإزالة المراقبة التي تفرضها برامج الحماية على واجهات Windows API.
- حقن العمليات و تخزين الحمولة في السجل لضمان التنفيذ المستمر.
- آليتا مراقبة مزدوجة (Watchdog): إحداهما داخلية لمتابعة الحمولة المحقونة، وأخرى خارجية عبر سكربت Batch يعيد تشغيل المحمل إذا تم تعطيله.
هذا التصميم الطبقي يجعل من الصعب على المدافعين إيقاف الهجوم، إذ يتطلب تعطيل كل من الحمولة والمحمل معاً لمنع إعادة التشغيل.
نشر ValleyRAT
المرحلة النهائية من السلسلة هي تثبيت ValleyRAT، وهو مشتق من Gh0st RAT، يوفر وظائف وصول عن بُعد تشمل:
- اتصالات C2
- تنفيذ الأوامر
- قدرات إضافية بعد الاختراق مثل إدارة العمليات وجمع البيانات
توسع ترسانة Silver Fox
تأتي هذه الحملة في سياق توسع مستمر لترسانة المجموعة، حيث أضافت أدوات جديدة مثل Atlas RAT و RomulusLoader و SilentRunLoader، إلى جانب استمرارها في استخدام طُعم ضريبي لنشر برمجيات مثل Gh0st RAT و DCRat. تقرير حديث لشركة أمنية كورية جنوبية أشار إلى أن حملة بحث رجعية لمدة 180 يوماً على VirusTotal كشفت عن 146 عينة فريدة من Atlas RAT، ما يعكس تنوعاً واسعاً قد يشير إلى تطوير تجاري أو توزيع خاص، رغم أن ارتباطها المباشر بـ Silver Fox لا يزال غير محسوم.
