Un actor de cibercrimen conocido como Silver Fox ha sido observado ejecutando una campaña orientada a una organización japonesa del sector de fabricación industrial. Según análisis técnicos, la estrategia se apoya en el enfoque BYOVD (Bring Your Own Vulnerable Driver) para ganar control a nivel de sistema y, posteriormente, entregar ValleyRAT, una amenaza diseñada para mantener acceso remoto persistente.
Lo relevante de esta intrusión es que no se limita a una sola técnica. La cadena integra abuso de controladores vulnerables, ejecución mediante DLL sideloading, evasión defensiva y mecanismos de recuperación en capas, de modo que cortar una parte del proceso no garantice detener el ataque.
La cadena de ataque: del señuelo a la carga final
La intrusión arranca con un lure con temática de facturas, que busca engañar a la víctima para ejecutar contenido controlado por el atacante. En esta fase, los analistas señalan que se emplean recursos alojados en servicios legítimos (como QQ y Tencent Cloud) para facilitar la descarga y el encadenamiento posterior de componentes.
Tras el paso inicial, el ataque conduce a una secuencia de DLL side-loading soportada por un archivo ZIP. Antes de llegar a esa etapa, el adversario aprovecha la técnica Silver Fox BYOVD para obtener acceso con privilegios de kernel y debilitar los controles de seguridad del equipo comprometido.
¿Qué papel juega BYOVD en la intrusión?
En los ataques BYOVD, el atacante aprovecha controladores existentes en el sistema que presentan vulnerabilidades conocidas o mal configuraciones. En lugar de desarrollar un controlador desde cero, el grupo usa controladores “ajenos” pero vulnerables, embebiendo la carga maliciosa dentro de un flujo que permite escalar privilegios.
En campañas anteriores, Silver Fox habría utilizado controladores legítimos pero vulnerables como amsdk.sys y wsftprm.sys. Sin embargo, el caso más reciente indica un cambio: la campaña incorpora dos controladores adicionales que no habían sido reportados públicamente en oleadas previas, llamados BootRepair.sys y EnPortv.sys.
Un marco modular con tres controladores
Uno de los puntos más llamativos del hallazgo es el diseño modular. El malware incluye una DLL maliciosa, denominada PDFCORE8.dll, que es cargada mediante ConvertToPDF.exe o PDFDirect.exe. Esa DLL integra los controladores BootRepair.sys y EnPortv.sys, además de wsftprm.sys, convirtiendo el flujo en un BYOVD de tres controladores.
La idea operativa detrás de usar tres drivers es proporcionar resiliencia entre distintos entornos. En términos prácticos, el diseño permite alternar componentes (por ejemplo, intercambiar controladores) sin tener que reconstruir todo el proceso de ataque. Así, los operadores mantienen el “workflow” mientras adaptan la capa de controladores cuando sea necesario.
Los binarios legítimos vinculados a esos elementos se asocian a Zeon Corporation.
Evasión defensiva: NTDLL y reducción de visibilidad
Más allá del acceso a nivel de kernel, la campaña busca dificultar la detección en modo usuario. Para ello, el malware emplea la técnica de unhooking de NTDLL, orientada a retirar hooks en línea colocados por soluciones de seguridad que observan llamadas a APIs nativas de Windows.
Este componente tiene como objetivo disminuir la telemetría disponible para el software de defensa, evitando que el comportamiento malicioso se registre con facilidad. De acuerdo con el análisis, el malware integra un conjunto de capacidades coordinadas: BYOVD, DLL sideloading, NTDLL unhooking, inyección de procesos, almacenamiento de payload basado en registro y dos mecanismos independientes de recuperación.
Persistencia y comunicación: watchdog interno y externo
La DLL cargadora actúa como framework de ejecución dentro del sistema. Desde ahí se activa un script batch de tipo “watchdog” encargado de mantener la persistencia mediante una tarea programada. Además, ese watchdog se comunica con un servidor externo (identificado como 43.128.26[.]132) para obtener shellcode que se inyecta en un proceso recién creado llamado svchost.exe.
En la fase de inyección se describe una técnica conocida como thread-context hijacking, utilizada para tomar el contexto de ejecución de un hilo y dirigirlo hacia el código inyectado.
Sin embargo, la persistencia no depende de un único mecanismo. La campaña incluye una arquitectura de recuperación en dos frentes: un watchdog interno que vigila el payload inyectado y el watchdog externo que supervisa la continuidad del cargador.
Esta lógica implica que si se elimina una pieza, la otra intenta restaurarla. Si el payload inyectado sale, el cargador lo recrea. Si el cargador es terminado, el script externo relanza su ejecución. Así, la interrupción parcial no resulta suficiente.
ValleyRAT: el implante final para control remoto
El objetivo final del encadenamiento es desplegar ValleyRAT. Según la información publicada, ValleyRAT es una variante de Gh0st RAT orientada a proporcionar funcionalidades de acceso remoto, incluyendo comunicaciones con su infraestructura de command-and-control (C2), ejecución de tareas y capacidades adicionales posteriores al compromiso.
En otras palabras, la campaña está diseñada para no solo entrar, sino operar y mantenerse activa en el tiempo, incluso frente a intentos de contención.
Señales de evolución y reutilización: otros cargadores y RAT
El descubrimiento también menciona que el grupo continúa ampliando su arsenal con nuevas herramientas, entre ellas Atlas RAT (también conocido como AtlasCross RAT), RomulusLoader y SilentRunLoader. Al mismo tiempo, se señala que en otras campañas han usado señuelos con temática de impuestos para entregar Gh0st RAT y DCRat.
Como contexto adicional, un informe de una empresa surcoreana indica que, tras un retrohunt de 180 días sobre el corpus de VirusTotal, se identificaron 146 muestras únicas asociadas con Atlas RAT. El análisis describe diversidad de versiones y linajes heurísticos, lo que sugiere que la operación podría no depender de un solo desarrollador o que exista distribución comercial o privada. Aun así, el vínculo con Silver Fox se plantea como indicio circunstancial, sin evidencia definitiva para confirmar autoría única.
Qué puede aprender la defensa de esta campaña
El caso ilustra por qué las cadenas modernas suelen combinar múltiples capas. Para los equipos de seguridad, el mensaje principal es que neutralizar un componente no siempre resuelve el incidente: la arquitectura de recuperación en dos frentes puede reconstituir el estado malicioso.
Además, el uso de DLL sideloading, el abuso de controladores vulnerables (BYOVD) y el unhooking de NTDLL refuerzan la necesidad de revisar controles más allá de alertas aisladas. En entornos industriales, donde la ventana de detección puede ser limitada, conviene reforzar la visibilidad en endpoints y endurecer la supervisión de comportamiento de procesos, tareas programadas y señales de inyección.
Finalmente, dado que el ataque arranca con señuelos que aprovechan infraestructura y servicios legítimos para facilitar la entrega, la higiene en el tratamiento de adjuntos y el análisis de comunicaciones de red siguen siendo claves.
Conclusión
La campaña atribuida a Silver Fox BYOVD muestra una intrusión bien orquestada: phishing con temática de facturas, uso de controladores vulnerables para escalar privilegios, DLL sideloading con un marco modular de tres drivers y evasión mediante NTDLL unhooking. A esto se suma una estrategia de persistencia y recuperación en capas que dificulta la contención.
Mientras el grupo continúa expandiendo herramientas y variaciones, los defensores tienen ante sí un desafío claro: detectar y cortar el ataque en múltiples puntos, no solo en la primera etapa de despliegue.
Fuente: https://thehackernews.com/2026/07/silverfox-targets-japanese-manufacturer.html
