Xакерите от SilverFox създадоха фалшиви уебсайтове за софтуер, които крият зловреден код от изследователите по сигурност

Фалшиви страници за изтегляне на софтуер примамват потребителите на Windows в кампания със зловреден код, свързана с групата Silver Fox. Страниците имитират познати доставчици и предоставят инсталационни програми, които могат да оставят заразен компютър уязвим за продължителен достъп.

Microsoft отчита компрометирания в няколко индустрии, засягащи главно китайскоговорящи потребители.

Атакуващите разчитат на прост навик: хората търсят приложение, разпознават неговата търговска марка и щракват върху изтегляне. Други дейности, свързани със Silver Fox, използват съобщения и прикачени файлове.

Изследователи от Pelagos Intel идентифицираха една такава отделна верига, включваща съобщение в WhatsApp на финансова тема, насочено към получател в Малайзия.

Прикаченият файл е съдържал подписана програма и неподписана библиотека. Това констатиране не потвърждава, че операцията през WhatsApp е използвала фалшивите уебсайтове.

Microsoft оценява кампанията с фалшиви инсталатори като съответстваща на Silver Fox (наричана още Yinhu) с умерена увереност. Компанията не е приписала операцията на държавен субект.

Pelagos Intel заяви в доклад, споделен с Cyber Security News (CSN), че нейните отделно анализирани файлове са установили персистентност и неколкократно са се опитали да се свържат с външен сървър.

Xакерите от SilverFox създадоха фалшиви уебсайтове за софтуер

Клонираните страници копират вида на легитимни сайтове за изтегляне на софтуер, включително страници за браузъри, инструменти за сигурност и ежедневни помощни програми.

Microsoft проследи посетителите от фалшива страница до хост за изтегляне, предоставящ ZIP архив. Нейното разследване на фалшивия инсталатор на Silver Fox описва как познати брандове могат да скрият опасна верига на инсталация.

Два архива с едно и също име са пристигнали през приблизително 69 секунди, но са съдържали различен материал. Microsoft посочва, че архивът може да се генерира наново за всяка заявка, докато името му и адресът за изтегляне остават същите.

Това прави единичния хеш на архива лош метод за разпознаване на всяко копие, но не е доказателство, че уебсайтовете идентифицират и селективно заблуждават изследователите по сигурност.

След отваряне архивът стартира обвивка (wrapper), която поставя злонамерен код в произволно наименувана папка на Windows. Друг наблюдаван маршрут преминава през Windows Installer, системен компонент.

Потребител, който очаква рутинна инсталация, може да изпусне допълнителната програма, стартираща на заден план, особено когато видимата страница за изтегляне изглежда убедително.

Този подход има прецедент: фалшиво изтегляне на софтуер за сигурност преди това беше свързано с инфекция, свързана със Silver Fox. Това са били отделни операции.

Те обаче показват защо познатият бранд и привидно обикновените инсталатори заслужават по-внимателен преглед, когато източникът на изтегляне не може да бъде потвърден.

Устойчивост и следи за откриване

Microsoft установи, че по-късните етапи са създали планирани задачи (scheduled tasks) за рестартиране на зловредните програми и за кратко са стартирали задача с високи системни привилегии за промяна на изключенията за сигурност.

Зловредният код също така се е опитал да деактивира Windows Update, да премахне копия за възстановяване и да се свърже с инфраструктура, контролирана от атакуващите. Такива промени могат да затруднят както откриването, така и почистването след затварянето на първоначалния инсталатор.

Случаят с WhatsApp на Pelagos Intel следва различен технически маршрут. Валидно подписан стартер е извикал функции в неподписана библиотека, която се е представила като компонент на работния плот на Windows.

Библиотеката е декодирала данни и е копирала трансформираното съдържание в изпълнима памет. Същите файлове след това са били копирани в потребителския профил, като е зададен запис в системния регистър за автоматично стартиране.

По време на тестването Pelagos регистрира 96 опита за връзка през около три секунди. Също така се наблюдава успешна операция по декриптиране, чиято дължина съвпада с трансформация, идентифицирана по време на анализа на кода.

Тези наблюдения подкрепят наличието на конфигуриран, персистентен зареждач (loader), но докладът не показва, че тази верига и кампанията с фалшиви сайтове на Microsoft са едно и също пробиване на сигурността.

Предишни доклади за зареждане на зловреден код чрез доверен софтуер илюстрират защо валидният подпис върху един файл не може да гарантира безопасността на всеки съседен компонент.

По същия начин фишинг примамките на Silver Fox на данъчна тема показват, че привидно достоверният документ или съобщение може да бъде първата стъпка към отделна инфекция. Тези връзки предоставят контекст, а не доказателство за споделена инфраструктура. Тази разлика е от значение, когато екипите сравняват проби и доклади.

За кампанията с фалшиви сайтове Microsoft препоръчва теглене от потвърдени източници, следене за неочаквани изтегляния на архиви и сигнализиране при съмнителни планирани задачи или промени в настройките за сигурност.

За веригата през WhatsApp Pelagos подчертава необичайния запис за автоматично стартиране, двойката подготвени файлове и редовните изходящи опити за връзка като полезни насоки за разследване. Екипите трябва да потвърдят коя верига разследват, преди да приложат индикаторите по-долу.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно решаване или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.