Silver Fox: álcázva terjesztett ValleyRAT
A VMRay Labs kutatása egy augusztus és október között megfigyelt, kínai kötődésű kiberbűnözői műveletet tárt fel, amelyben a támadók a ValleyRAT, más néven Winos 4.0 távoli hozzáférést biztosító kártevőt terjesztették. A kutatók a kampányt nagy valószínűséggel a Silver Fox néven követett támadói tevékenységhez kapcsolják, bár az azonosítás bizonyosságát közepesnek értékelik.
A támadók adóügyi dokumentumoknak látszó fájlokkal próbálták megtéveszteni a felhasználókat. A ZIP-fájlokba csomagolt virtuális lemezképek legitim, digitálisan aláírt alkalmazásokat tartalmaztak, amelyek mellé rosszindulatú DLL-állományokat helyeztek. A felhasználó által elindított program így akaratlanul is betöltötte a támadó kódját, amely letöltötte és aktiválta a ValleyRAT kártevőt.
A fertőzés után a támadók távolról vezérelhetik az érintett Windows-rendszert, adatokat gyűjthetnek és további műveleteket hajthatnak végre. A kártevő egyes komponensei a Windows rendszerleíró adatbázisában rejtőznek, míg az újraindítás utáni fennmaradást ütemezett feladat biztosítja. Bizonyos változatok rendszermagszintű illesztőprogramokat is tartalmaztak, amelyek tovább növelhetik a kompromittálás súlyosságát.
A VMRay összesen 44 kártevőbetöltő-változatot elemzett, amelyek közül 25 tartozott a részletesen vizsgált művelethez. Ezek öt támadói vezérlőkiszolgálóval kommunikáltak. A kutatók a domainek regisztrációs adatai és a korábbi támadási infrastruktúrával azonosított kapcsolatok alapján kötötték a kampányt a Silver Foxhoz.
Érdekesség, hogy 12 vizsgált állomány az amerikai belbiztonsági minisztérium (DHS) címerét tartalmazta. A kutatók szerint azonban ez valószínűleg egy felhasznált program sablonjából származott, és nem bizonyítható, hogy a támadók tudatos megtévesztésre alkalmazták.
