Специалисты VMRay разобрали 44 варианта загрузчика ValleyRAT и обнаружили у предполагаемых операторов Silver Fox запасной канал управления, связывающий вредоносные сборки разных месяцев. Даже после смены основного сервера заражённые компьютеры могут получить новый адрес для связи.
Кампанию наблюдали с августа по октябрь 2026 года. Из 44 исследованных сборок 25 обращались к пяти управляющим серверам. Преступники распространяли архивы ZIP с образами дисков ISO или VHDX, используя, в частности, приманки на тему налогов. По характеру документов исследователи предполагают интерес атакующих к организациям и пользователям Индии, но точный круг жертв не установлен.
Внутри образа находились легитимная программа с цифровой подписью и вредоносная DLL-библиотека. При запуске приложение подгружало библиотеку из того же каталога, позволяя выполнить чужой код под прикрытием доверенного файла. Такой приём называют подменой DLL. В дальнейшем загрузчик разворачивал ValleyRAT, который предоставляет удалённый доступ к компьютеру и позволяет выполнять дополнительные команды.
Особенно примечателен способ закрепления. По результатам анализа вредоносный компонент сохранялся в реестре Windows, в том числе по пути HKCU\Console\0, а для повторного запуска применялись задания планировщика. Использование реестра вместо обычного исполняемого файла затрудняет поиск полезной нагрузки на диске, хотя не делает заражение полностью невидимым для средств защиты.
Отдельные сборки содержали изображение печати Министерства внутренней безопасности США. Исследователи не сочли находку доказательством маскировки под американское ведомство. Значок, вероятно, попал в код из испаноязычного шаблона Visual Studio. Следовательно, необычный артефакт сам по себе ничего не говорит о происхождении атакующих или целях операции.
Запасной механизм связи оказался гораздо существеннее. Вместо постоянной привязки к одному управляющему серверу загрузчик мог обращаться к внешнему текстовому файлу с новым адресом. Благодаря общей инфраструктуре старые и новые варианты продолжали получать актуальные параметры. Такой подход помогает переживать отключение отдельных серверов и усложняет блокировку атаки по одному IP-адресу.
В исследовании VMRay операция связана с Silver Fox с умеренной уверенностью. Аналитики учитывали особенности инфраструктуры, китайскоязычные следы и рабочее время операторов, соответствующее часовому поясу UTC+8. Совокупность признаков поддерживает атрибуцию, но не доказывает, что кампанию вела конкретная группа или государственная структура.
Группировка Silver Fox уже распространяла ValleyRAT через поддельные установщики популярных программ и налоговые уведомления. В прежних атаках злоумышленники также использовали легитимные исполняемые файлы для загрузки вредоносных библиотек. Новое расследование показывает, как повторно применяемые компоненты и резервные адреса позволяют сохранять управление несколькими поколениями трояна.
