Une campagne observée récemment met en lumière une nouvelle façon, pour le groupe de cybercriminalité Silver Fox, de viser une organisation japonaise du secteur de la fabrication industrielle. L’objectif final : installer ValleyRAT, un dispositif d’accès à distance destiné à rester actif sur la machine compromise.
Ce qui distingue l’attaque, c’est l’articulation d’une chaîne BYOVD (Bring Your Own Vulnerable Driver) avec d’autres techniques d’exécution discrète. Les chercheurs évoquent un enchaînement en plusieurs étages : leurre d’e-mail, abus de pilotes vulnérables, chargement de DLL via des applications légitimes, neutralisation partielle de contrôles de sécurité, puis mécanismes de persistance et de reprise après interruption.
Le point de départ : phishing facture et chargement en ZIP
La campagne commence par un lure thématisé par des factures. Le message utilise du contenu contrôlé par l’attaquant, hébergé sur des services légitimes de messagerie et de cloud (liés à QQ et à Tencent Cloud). Cette mise en scène vise à déclencher une chaîne de chargement de bibliothèque dynamique.
Concrètement, le scénario s’appuie sur un archive ZIP qui prépare le terrain au déploiement de ValleyRAT. Toutefois, avant d’atteindre la phase d’installation de la charge utile, les opérateurs exploitent la chaîne BYOVD pour obtenir un niveau d’accès noyau et réduire l’efficacité des défenses sur la machine infectée.
Pourquoi la chaîne BYOVD compte dans cette attaque
Le principe BYOVD consiste à s’appuyer sur un pilote vulnérable déjà présent ou disponible dans l’environnement Windows, afin d’élever des privilèges et d’ouvrir la voie à d’autres actions malveillantes. Dans ce cas précis, l’abus de pilotes s’insère dans un ensemble de techniques coordonnées.
Les chercheurs rapportent que, une fois l’accès kernel obtenu, les attaquants cherchent aussi à affaiblir la détection et à améliorer la fiabilité de l’exécution. L’objectif n’est pas seulement d’installer un implant, mais aussi de garder le contrôle malgré les tentatives d’interruption.
Des pilotes multiples : vers un framework modulaire
Jusqu’ici, Silver Fox exploitait déjà des pilotes associés à des attaques BYOVD. Mais la campagne la plus récente se distingue par l’usage de deux autres pilotes dont le lien avec les vagues précédentes n’avait pas été documenté publiquement.
Les pilotes évoqués sont BootRepair.sys et EnPortv.sys, en plus de wsftprm.sys qui apparaît dans l’ensemble. Les chercheurs précisent aussi que les binaires légitimes concernés sont associés à Zeon Corporation.
Le détail le plus important pour la défense : au lieu d’un BYOVD figé, l’attaque semble organisée comme un framework modulaire à trois pilotes. La logique décrite par les analystes consiste à permettre aux opérateurs de remplacer les pilotes sans rebâtir toute la chaîne de travail. En pratique, cela peut compliquer l’anticipation des variantes et la mise au point de signatures stables.
DLL sideloading : ConvertToPDF.exe et PDFDirect.exe
Après l’alignement des conditions côté élévation de privilèges, l’attaque passe par un DLL side-loading : elle consiste à faire charger une DLL malveillante dans un flux déclenché par des exécutables légitimes.
Dans le scénario étudié, la DLL malveillante PDFCORE8.dll est chargée via ConvertToPDF.exe ou PDFDirect.exe. Cette DLL ne se contente pas de réaliser une action unique : elle intègre aussi les composants nécessaires, dont BootRepair.sys et EnPortv.sys, et reprend également wsftprm.sys.
Le résultat est une logique d’exécution en plusieurs couches : un chargeur de DLL qui orchestre le reste du flux, tout en conservant une structure pensée pour s’adapter à différents contextes.
Réduction de la visibilité : unhooking NTDLL
Pour rendre la compromission plus discrète, les chercheurs indiquent que la malveillante réalise un unhooking NTDLL. Cette approche vise à supprimer certains hooks en espace utilisateur placés par des solutions de sécurité afin de surveiller les appels natifs d’API Windows.
En limitant la capacité des mécanismes de contrôle à observer certains comportements, l’attaque peut poursuivre son déroulement avec moins de perturbations. Là encore, l’idée n’est pas d’utiliser une seule technique, mais un ensemble qui se renforce mutuellement.
Persistances et reprise : deux watchdogs au lieu d’un
La persistance est l’un des volets les plus critiques de cette opération. Les analystes décrivent une conception à double watchdog qui renforce la résilience de l’implant.
Le chargeur déclenche un script batch de type watchdog. Ce script met en place une persistance via des tâches planifiées et communique avec un serveur externe (mentionné comme 43.128.26[.]132) pour récupérer du shellcode.
Ensuite, les opérateurs injectent ce shellcode dans un nouveau processus svchost.exe en utilisant une technique appelée thread-context hijacking. Le but : maintenir l’exécution et rendre l’activité malveillante difficile à distinguer du comportement attendu d’un processus système.
Mais surtout, la stratégie de reprise est dupliquée : un mécanisme interne surveille la charge injectée, tandis que le script externe surveille le loader associé. Ainsi, mettre fin à un seul composant ne suffit pas forcément : si l’un s’arrête, l’autre peut le relancer.
ValleyRAT : accès à distance et capacités post- compromission
Une fois la chaîne complète activée, le stade final est constitué par ValleyRAT, décrit comme une variante de Gh0st RAT. Cet implant fournit des fonctions de command-and-control (C2) et d’exécution de tâches, en plus de diverses capacités post-compromission.
En pratique, cela signifie que les opérateurs peuvent coordonner des actions à distance sur la machine touchée, tout en s’appuyant sur la persistance et la récupération intégrées à la chaîne.
Une logique d’évolution : autres outils et indices d’influence
Le rapport s’inscrit dans un contexte plus large : Silver Fox semble continuer à affiner et étendre son arsenal. Les chercheurs citent notamment Atlas RAT (aussi connu sous AtlasCross RAT), RomulusLoader et SilentRunLoader. La campagne mentionne aussi l’usage de leurres liés à des thèmes de taxes pour distribuer Gh0st RAT et DCRat.
Par ailleurs, une société sud-coréenne indique avoir mené une rétro-vérification sur 180 jours dans le corpus de VirusTotal. Selon leurs résultats, l’analyse aurait identifié 146 échantillons uniques d’Atlas RAT, répartis entre plusieurs versions et builds, avec des éléments de développement et des lignées heuristiques. Ils notent cependant que l’attribution à un seul acteur reste incertaine : le lien à Silver Fox serait suggéré par des éléments indirects, sans preuve concluante.
Ce que les équipes sécurité peuvent retenir
La chaîne BYOVD décrite dans cette campagne rappelle un point essentiel : les attaques modernes combinent souvent plusieurs mécanismes au lieu de dépendre d’une seule faiblesse. Ici, l’abus de pilotes vulnérables s’imbrique avec le DLL side-loading, l’unhooking NTDLL, puis une architecture de récupération en double.
Pour se préparer, il est utile de porter une attention particulière aux scénarios impliquant des chargements de DLL via des binaires légitimes, aux signaux de persistance par tâches planifiées, ainsi qu’aux comportements d’injection dans des processus système comme svchost.exe. Enfin, la présence de watchdogs signifie que la suppression d’un seul composant peut échouer à neutraliser durablement l’intrusion.
En résumé, cette affaire montre comment Silver Fox cherche à livrer ValleyRAT de manière fiable et durable, en tirant parti d’une chaîne BYOVD pensée pour rester opérationnelle même en cas d’efforts de réponse partiels.
Source: https://thehackernews.com/2026/07/silverfox-targets-japanese-manufacturer.html
