SilverFox dùng chuỗi BYOVD 3 driver và ValleyRAT nhắm nhà sản xuất công nghiệp Nhật
"Silver Fox was observed targeting a Japanese industrial manufacturer with a phishing-led attack chain that combines DLL sideloading, BYOVD abuse, NTDLL unhooking, process injection, and watchdog-based recovery to deploy ValleyRAT (Winos 4.0). The campaign uses multiple vulnerable drivers, including BootRepair.sys, EnPortv.sys, and wsftprm.sys, to impair defenses and maintain persistent remote access; no CVE is specified in the report."
Tác động đáng kể do kết hợp BYOVD với DLL sideloading và watchdog recovery, giúp duy trì xâm nhập ngay cả khi một thành phần bị dừng; đồng thời NTDLL unhooking làm suy giảm khả năng quan sát của phần mềm bảo mật.
Nguy cơ gián đoạn vận hành và rò rỉ dữ liệu tăng do ValleyRAT cung cấp C2 và thực thi tác vụ; cơ chế phục hồi theo watchdog làm tăng chi phí xử lý sự cố và kéo dài thời gian khắc phục.
Nhóm tội phạm mạng Silver Fox được ghi nhận nhắm vào một tổ chức tại Nhật trong lĩnh vực sản xuất công nghiệp, sử dụng chuỗi tấn công có phishing để cuối cùng triển khai ValleyRAT (Winos 4.0) nhằm duy trì truy cập từ xa bền vững. Theo phân tích của Cato Networks, chiến dịch kết hợp abuse BYOVD, DLL sideloading, NTDLL unhooking, process injection, lưu payload theo registry, và cơ chế recovery theo watchdog để giảm khả năng bị phát hiện và tăng độ dai dẳng.
Chuỗi tấn công bắt đầu từ mồi nhử theo chủ đề hóa đơn, dùng nội dung do kẻ tấn công kiểm soát được lưu trên các dịch vụ hợp pháp (QQ/Tencent Cloud) để kích hoạt sideloading thông qua ZIP archive. Bộ tải tải xuống tiếp theo từ hạ tầng do kẻ tấn công kiểm soát. Điểm đáng chú ý là việc dùng ba driver trong mô hình BYOVD dạng mô-đun: BootRepair.sys, EnPortv.sys và wsftprm.sys, được nhúng vào DLL độc hại PDFCORE8.dll (sideload bởi ConvertToPDF.exe hoặc PDFDirect.exe).
Ngoài ra, loader thực thi batch watchdog để tạo scheduled task, liên lạc với máy chủ bên ngoài (ví dụ 43.128.26[.]132) và tiêm shellcode vào tiến trình mới svchost.exe bằng thread-context hijacking. Khuyến nghị: rà soát dấu hiệu DLL sideloading, hành vi NTDLL unhooking/process injection, và cấu hình watchdog/scheduled task; tăng giám sát các tiến trình như svchost.exe và các driver lạ/không phù hợp trong hệ thống.