Eine neue Spark RAT Kampagne trifft offenbar Organisationen in Kambodscha. Laut Acronis Threat Research Unit (TRU) wird dabei ein Open-Source-Remote-Access-Trojaner (RAT) namens Spark RAT eingesetzt, um kompromittierte Geräte aus der Ferne zu steuern. Auffällig ist vor allem die Taktik, einen legitimen, aber verwundbaren Treiber über die sogenannte Bring Your Own Vulnerable Driver-Technik (BYOVD) zu missbrauchen.
Der Angriff ist mehrstufig aufgebaut und nutzt dabei verschiedene Umgehungsmechanismen, um Schutzsoftware zu schwächen oder zu stoppen. Die dabei verwendeten Köder variieren, was darauf hindeutet, dass die Angreifer möglichst viele Zielgruppen ansprechen wollen.
Mehrstufige Kampagne mit variablen Ködern
Die Analyse beschreibt eine breit angelegte Social-Engineering-Komponente. Die Köder wirken wie offizielle oder alltagsnahe Unterlagen und sollen Empfänger dazu bringen, eine Datei auszuführen, die anschließend als Einstieg in die Schadsoftwarekette dient.
Als Themen nennt Acronis unter anderem:
- Mitteilungen aus dem Regierungsumfeld
- Materialien aus dem Bereich öffentliche Gesundheit
- Unterlagen rund um zahnärztliche Untersuchungen
- Immobilien- und Real-Estate-Dokumente
- Weitere Werbeangebote
Technisch verteilen die Angreifer vermutlich Phishing-E-Mails, die komprimierte Archive enthalten. In diesen Archiven befindet sich ein Inno-Setup-Programm, das im Anschluss weitere Abläufe anstößt.
BYOVD: Verwundbarer OPSWAT-Treiber als Schlüssel
Ein zentraler Bestandteil der Spark RAT Kampagne ist die BYOVD-Strategie. Dabei wird ein verwundbarer Treiber geladen, um die Rechteausweitung anzuschieben und gleichzeitig Sicherheitsmechanismen zu neutralisieren.
In diesem Fall zielt die Kette auf einen Treiber ab, der mit OPSWAΤ AppRemover in Verbindung steht und als ardrv.sys beschrieben wird. Über die Schwachstelle CVE-2026-36425 soll der Angriff im weiteren Verlauf Sicherheitsprozesse beenden oder die betroffenen Schutzkomponenten gezielt ausschalten.
Der genaue Ablauf wird in der Analyse mehrschrittig dargestellt: Ein Loader sorgt zunächst für den Einstieg, danach folgt die Bereitstellung der verwundbaren Treiberkomponente und erst anschließend wird das eigentliche Spark-RAT-Payload nachgeladen.
DLL-Sideloading und mehrstufige Loader-Kette
Der Inno-Setup-Installer dient als Startpunkt. Er triggert eine DLL-Sideloading-Kette, wobei ein signiertes Tencent-Executable als Bestandteil des Ablaufs verwendet wird. Auf diese Weise wird der Weg bereitet, um weitere Zwischenstufen zu platzieren.
Im weiteren Verlauf werden Payloads aus Archivbestandteilen geladen, die in Bilderdateien im PNG-Format eingebettet sind. Daraus werden Shellcode-Abschnitte extrahiert und entschlüsselt, um die nächsten Stufen der Infektionskette auszuführen.
Anti-Sandbox-Checks und Prozessprüfung
Damit die Schadsoftware nicht in Analyseumgebungen hängen bleibt oder zu früh auffällt, nennt Acronis zwei Mechanismen, die bereits im Loader-Teil ansetzen.
Timingbasierte Erkennung
Der Loader führt einen Check basierend auf Zeitverhalten durch. Dabei wird geprüft, ob Schlaf- oder Verzögerungsintervalle in einer Weise manipuliert oder verkürzt werden, die auf eine Sandbox- oder Emulationsumgebung hindeuten könnte. Wenn die gemessene Zeit außerhalb eines erwarteten Bereichs liegt, wird die Ausführung beendet.
Erkennen spezifischer Security-Prozesse
Zudem wird geprüft, ob Prozesse vorhanden sind, die mit Huorong Internet Security verknüpft sind (genannt wird HipsTray.exe, ein Security-Programm). Wenn dieser Prozess entdeckt wird, versucht der Loader, die Rechte des Sicherheitsprodukts zu schwächen.
Ausführung in zwei Modi: SYSTEM oder Setup
Die Kampagne berücksichtigt, ob die Schadsoftware bereits mit höchsten Rechten läuft. Der zweite Stager überprüft, ob die Ausführung bereits im Kontext von SYSTEM erfolgt.
Anhand der Ergebnisse wählt die Payload einen von zwei Pfaden:
- Inject-Modus: Läuft der Code bereits als SYSTEM, wird direkt in einen Injektionsablauf gewechselt. Dabei wird zunächst keine Persistenz eingerichtet.
- Setup-Modus: Läuft der Code noch nicht als SYSTEM, wird zuerst Persistenz aufgebaut. Erst danach wird der nächste Schritt durchgeführt.
Dieses Vorgehen erhöht die Wahrscheinlichkeit, dass der Angriff in unterschiedlichen Zielumgebungen zuverlässig funktioniert.
Persistenz und Injektion in vssvc.exe
Um die Kontrolle aufrechtzuerhalten, nutzt die Spark RAT Kampagne Injektions- und Persistenzmechanismen. In beiden Modi wird dabei auf vssvc.exe verwiesen.
Inject-Modus
Im Inject-Modus werden Shellcode-Elemente, die erneut in einer weiteren PNG-Datei im Archiv stecken, entschlüsselt und in vssvc.exe injiziert. Anschließend wird der Code im Kontext des Zielprozesses ausgeführt. Zusätzlich wird der Prozess überwacht: Wenn vssvc.exe beendet wird oder mit einer neuen Prozess-ID (PID) startet, wird der Shellcode erneut injiziert.
Setup-Modus
Im Setup-Modus wird ebenfalls Shellcode aus demselben PNG-File gelesen und entschlüsselt. Danach folgt eine weitere Prüflogik: Es wird eine Liste harter, fest codierter Prozesse überprüft, die mit Qihoo 360 in Verbindung stehen. Werden keine dieser Prozesse gefunden, richtet die Malware Persistenz über einen Windows-Service ein, der später dafür sorgt, dass der Zyklus erneut startet.
Nach dem Aufbau dieser Persistenz wird wie im Inject-Modus in vssvc.exe injiziert.
Schrittfolge: AMSI/ETW, Scheduled Task und Treiberinstallation
Die Forschenden beschreiben außerdem eine konkrete Folge von Aktionen, die im Verlauf der Payload-Phase ausgeführt werden. Dazu gehören unter anderem:
- Patchen von AMSI und Funktionen im Bereich ETW (klassische Ziele für die Umgehung von Erkennung)
- Persistenz über einen geplanten Task
- Installation des verwundbaren Treibers ardrv.sys zur Beendigung sicherheitsrelevanter Prozesse, darunter Microsoft Defender, Huorong Internet Security und Tencent PC Manager
- Laden und Entschlüsseln einer weiteren eingebetteten Payload aus einem dritten PNG, um im User-Modus weitere, festgelegte Security-Prozesse zu terminieren
Parallel dazu verarbeitet die Schadsoftware eine vierte Datei, die ebenfalls auf PNG basiert. Aus ihr wird Shellcode extrahiert, der schließlich in ctfmon.exe injiziert wird. In der Folge soll Spark RAT zur Ausführung gebracht werden.
Hinweise auf Verbindung zum Silver-Fox-Umfeld – aber keine eindeutige Zuordnung
Acronis vergleicht das Muster der aktuellen Aktivität mit bekannten Indikatoren aus dem Silver Fox-Kontext. Dabei zeigen sich tatsächlich mehrere Überschneidungen, etwa:
- ähnliche Zielsysteme bzw. Schnittmengen bei betroffenen Security-Prozessen
- DLL-Sideloading über signierte Anwendungen
- mehrstufige Bereitstellung der Payloads
- Persistenz über Windows Services und geplante Tasks
- Hinweise auf Defender-Exclusion-ähnliche Muster
Gleichzeitig gibt es Unterschiede, die eine sichere Zuschreibung erschweren. Besonders entscheidend: Während bekannte Silver-Fox-Kampagnen oft eigene oder andere Payloads nutzen, wurde hier ein Open-Source-RAT als Spark RAT beschrieben. Acronis betont zwar, dass Operatoren Payloads austauschen könnten, aber der genaue Einsatz eines Open-Source-Rats reduziert die Stärke eines möglichen Verknüpfungspunkts in früheren Attributionen.
Darüber hinaus nennt Acronis Unterschiede bei fehlendem Shared Infrastructure, fehlender Funktioncode-Wiederverwendung und nicht passenden Zertifikaten. Ein weiterer Hinweis lautet: Die Konfiguration der Malware enthält einen chinesischsprachigen Wert, und das Ziel ist auf mehrere Security-Produkte ausgerichtet, die häufig in chinesischsprachigen Umgebungen genutzt werden.
Insgesamt wird die Aktivität daher als Cluster mit unklarer Zuordnung geführt, bei dem mögliche chinesischsprachige Entwicklungs- oder Einsatzbezüge bestehen könnten. Die Bewertung bleibt laut Acronis mit geringem Vertrauensgrad und kann sich ändern, falls weitere Belege auftauchen.
Warum die Spark RAT Kampagne besonders riskant ist
Auch ohne jeden Einzelfall im Detail zu kennen, zeigt das beschriebene Vorgehen, dass die Angreifer mehrere Ebenen gleichzeitig adressieren. Die Kombination aus mehrstufigem Loader, Anti-Sandbox-Logik, gezielter Schwächung von Security-Produkten und BYOVD kann helfen, sich gegen typische Abwehrmechanismen durchzusetzen.
Hinzu kommt, dass die Kette nicht nur einen Einstieg schafft, sondern offenbar auch auf stabile Kontrolle zielt: Durch Injektion in einen Systemprozess und durch Persistenzmechanismen wird der Zugriff wiederholbar und schwerer zu unterbrechen.
Fazit: Auffällige Technikmischung erfordert konsequente Vorsorge
Die Spark RAT Kampagne in Kambodscha zeigt, wie moderne Angriffe Social Engineering, mehrstufige Ausführung und BYOVD-Techniken verzahnen. Der Missbrauch eines verwundbaren OPSWAΤ-Treibers sowie die gezielte Behandlung von Sicherheitsprodukten deuten auf ein hohes Maß an Vorbereitung hin.
Für betroffene Organisationen ist vor allem relevant, dass der Angriff auf mehrere Schutzschichten abzielt: von Erkennungsumgehung (AMSI/ETW) über Prozess- und Rechteprüfungen bis hin zu Persistenz. Da die Zuordnung zu einem konkreten Akteur nicht eindeutig ist, sollte die Defensive dennoch universell gedacht werden: Phishing-Risiken minimieren, Ausführungsketten kontrollieren und Security-Tools so absichern, dass auch in kompromittierten Szenarien die Wirkung begrenzt bleibt.
Quelle: https://thehackernews.com/2026/08/spark-rat-targets-cambodia-abuses.html
