Eine neue Kampagne der chinesischen Cybercrime-Gruppe Silver Fox zielt auf eine Organisation im industriellen Fertigungsumfeld in Japan. Im Mittelpunkt steht eine technisch ausgereifte Angriffskette: Mit einer BYOVD-Chain, DLL-Sideloading und mehreren Mechanismen zur Umgehung von Schutzmaßnahmen wird am Ende die Remote-Access-Software ValleyRAT (auch „Winos 4.0“ genannt) für anhaltenden Zugriff ausgerollt.
Was die Untersuchung besonders hervorhebt: Die Betreiber bauen die Nachlade- und Wiederanlaufprozesse so, dass selbst bei Teilunterbrechungen die Ausführung wiederhergestellt werden kann. Dadurch wird das Zurückdrängen des Schadcodes deutlich schwieriger.
Phishing als Einstieg: Rechnungslure und Cloud-Hosting
Der Angriff beginnt mit einem phishingbasierten Köder, der thematisch wie eine Rechnung gestaltet ist. Dabei kommt eine ZIP-Datei zum Einsatz, die als Transportmedium dient und den weiteren Ablauf anstößt.
Für den Inhalt nutzt die Kampagne attacker-kontrollierte Daten, die über legitime Dienste gehostet werden. Genannt werden dabei QQ und Tencent Cloud. Erst dadurch wird die Kette in Gang gesetzt, die am Ende in das DLL-Sideloading-Szenario führt.
BYOVD-Chain liefert Kernelzugriff und schwächt Schutzkontrollen
Bevor es zur eigentlichen Platzierung der Nutzlast kommt, verwendet die Gruppe eine Bring Your Own Vulnerable Driver-Technik. In der Analyse wird dies als Teil einer BYOVD-Chain beschrieben, die den Zugriff auf den Kernel ermöglicht.
Dieser Schritt soll dabei nicht nur Rechte erweitern, sondern auch Sicherheitskontrollen auf dem kompromittierten System beeinträchtigen. So können nachgelagerte Phasen der Kette unbemerkt ablaufen.
DLL-Sideloading mit modularer Drei-Treiber-Implementierung
Ein zentraler Baustein ist die Nutzung von DLL-Sideloading. In der Kampagne steckt in dem ZIP-Archiv ein Downloader-Executable, der weitere Komponenten aus einer Angreiferinfrastruktur nachlädt. Anschließend wird eine DLL nachgeladen, die als PDFCORE8.dll beschrieben wird.
Die eigentliche Besonderheit: Die Sideloaded DLL bindet gleich mehrere Treiber ein. Konkret werden in der aktuellen Welle zwei Treiber verwendet, die zuvor nicht öffentlich mit vergleichbaren Angriffsmustern in Verbindung gebracht wurden: BootRepair.sys und EnPortv.sys. Ergänzend ist weiterhin wsftprm.sys Bestandteil der Kette.
Außerdem wird beschrieben, dass diese bösartige DLL über legitime Binärdateien wie ConvertToPDF.exe oder PDFDirect.exe eingebunden wird. Die genannten legitimen Programme sind mit Zeon Corporation assoziiert.
Der technische Nutzen der drei Treiber besteht laut Analyse darin, betriebliche Stabilität über verschiedene Umgebungen hinweg zu erhöhen. Das Modell wirkt damit wie eine Art „Plug-and-Play“-System: Operatoren können Treiber austauschen, ohne den restlichen Ablauf vollständig neu bauen zu müssen.
NTDLL-Unhooking und Prozessinjektion gegen Monitoring
Damit Schutzprodukte nicht zuverlässig native Windows-API-Aufrufe nachvollziehen, kombiniert die Schadsoftware weitere Schritte. Genannt wird unter anderem NTDLL-Unhooking: Dabei sollen User-Mode-Inline-Hooks entfernt werden, die von Endpoint-Security-Software eingesetzt werden, um das Verhalten des Systems zu überwachen.
Außerdem kommt Prozessinjektion zum Einsatz. Laut Beschreibung wird der Code so in einen neuen Prozess eingebracht, dass die weitere Ausführung unter einer legitimen Prozessidentität stattfindet.
Doppelter Watchdog erhöht die Ausfallsicherheit
Ein definierendes Merkmal der Kampagne ist ein Dual-Watchdog-Design, das die Ausführung absichert. Statt sich auf einen einzigen Wiederherstellungsweg zu verlassen, koppelt die Architektur zwei Ebenen miteinander.
Zum einen existiert eine interne Routine, die den injizierten Payload überwacht. Zum anderen startet ein externer Watchdog-Mechanismus, der über ein Watchdog-Batch-Skript realisiert wird.
Für die Persistenz wird zusätzlich eine scheduled task verwendet. Der Loader kommuniziert dabei mit einem externen Server (angegeben als 43.128.26[.]132), um weiteren Shellcode zu beziehen. Dieser wird anschließend in einen neuen svchost.exe-Prozess injiziert. Als Technik zur Platzierung wird Thread-Context Hijacking genannt.
Der Effekt ist klar: Wird nur eine Komponente beendet, kann die andere sie wiederherstellen. Das bedeutet für Verteidiger, dass sie beide Wiederanlaufwege gleichzeitig unterbrechen und verhindern müssen, dass einer den anderen neutralisiert „repariert“.
ValleyRAT: Fernzugriff mit Command-and-Control und Task-Ausführung
Als finaler Schritt kommt ValleyRAT ins Spiel. Es wird als Variante von Gh0st RAT eingeordnet und zielt auf Remote-Access ab.
Im Fokus stehen dabei unter anderem Command-and-Control (C2)-Kommunikation, Task-Ausführung sowie zusätzliche Post-Compromise-Funktionen. Damit eignet sich die Implementierung nicht nur für einen einmaligen Zugriff, sondern für eine anhaltende Steuerung des infizierten Systems.
Die Analyse betont außerdem, dass die einzelnen Elemente koordiniert statt isoliert umgesetzt sind: Treiberbereitstellung, Beenden von Sicherheitsprozessen, Injektion, Payload-Überwachung und Loader-Wiederherstellung greifen als abgestimmte Bausteine ineinander.
Einbreiterung des Werkzeugkastens: Weitere RAT- und Loader-Varianten
Die Veröffentlichung ordnet die Kampagne in einen größeren Entwicklungskontext ein. Silver Fox soll laufend an der Erweiterung des Arsenals arbeiten und dafür mehrere weitere Tools einsetzen, darunter Atlas RAT („AtlasCross RAT“), RomulusLoader und SilentRunLoader.
Zugleich werden auch tax-theme Lures erwähnt, die zuvor genutzt worden sein sollen, um Gh0st RAT und DCRat zu liefern.
Ergänzend wird ein Bericht einer südkoreanischen Sicherheitsfirma zitiert: In einer 180-tägigen Retrohunt-Phase im VirusTotal-Korpus wurden 146 eindeutige Atlas-RAT-Samples gefunden. Diese umfassten sechs PDB-Builds, zwei Entwicklungsumgebungs-Nutzernamen und 27 heuristische Linien. Die Firma weist jedoch darauf hin, dass die Verbindung zu Silver Fox nur aufgrund indirekter Hinweise vermutet wurde und nicht als eindeutiger Beleg gilt.
Warum die BYOVD-Chain für Verteidiger besonders anspruchsvoll ist
Aus Sicht der Abwehr ist vor allem entscheidend, dass die BYOVD-Chain nicht nur eine einzelne Hürde überwindet. Sie kombiniert mehrere Techniken in einer Weise, die sowohl Rechte ausweitet als auch das Monitoring erschwert.
Wenn dann noch Sideloading, Unhooking und Injektion hinzukommen und zusätzlich ein doppelter Watchdog den Wiederanlauf absichert, steigt der Aufwand für Incident Response deutlich. Praktisch bedeutet das: Reine „Stop-and-Forget“-Maßnahmen reichen oft nicht, solange die Wiederherstellungslogik aktiv bleibt.
Fazit
Die beobachtete Kampagne zeigt, wie Silver Fox eine moderne, mehrstufige Angriffskette aufbaut: Einstieg über einen Rechnungslure, anschließende Umsetzung einer BYOVD-Chain, modulare Drei-Treiber-Mechanik fürs DLL-Sideloading, dazu NTDLL-Unhooking und Prozessinjektion. Im Zentrum steht schließlich ValleyRAT als dauerhaft nutzbarer Fernzugriff, unterstützt durch eine doppelte Watchdog-Architektur.
Für Organisationen im industriellen Umfeld ist das eine klare Erinnerung: Schutzmaßnahmen sollten nicht nur einzelne Komponenten erkennen, sondern auch die Wiederanlauf- und Persistenzlogik in ihrer Gesamtheit mitdenken.
Quelle: https://thehackernews.com/2026/07/silverfox-targets-japanese-manufacturer.html
