Des organisations et des particuliers au Cambodge seraient la cible d’une nouvelle campagne cyber. Les chercheurs d’unités de recherche en sécurité décrivent une attaque multi-étapes qui déploie Spark RAT Cambodge, un remote access trojan (RAT) open source pensé pour permettre le contrôle à distance de machines compromises.
Ce qui rend l’opération particulièrement préoccupante, c’est la façon dont les acteurs enchaînent les charges utiles pour élever leurs privilèges et dégrader les capacités de défense. L’ensemble s’appuie notamment sur une technique connue sous le nom de bring your own vulnerable driver (BYOVD), et sur des mécanismes de chargement en plusieurs stades.
Une campagne multi-étapes pensée pour tromper
Selon l’analyse publiée, les échantillons observés utilisent des thèmes d’hameçonnage variés. L’objectif semble être d’élargir l’audience potentielle en s’appuyant sur des contenus crédibles et locaux.
Parmi les leurres évoqués par les chercheurs, on retrouve notamment des documents liés à l’administration publique au Cambodge, des supports de santé publique, des éléments relatifs à des examens dentaires, des dossiers immobiliers, ainsi que des offres promotionnelles.
La chaîne d’attaque viserait souvent une distribution via des courriels de phishing, qui livrent des archives compressées. À l’intérieur, une application Inno Setup (un installeur) est présentée comme l’étape à exécuter, avec l’espoir que la victime active le processus.
BYOVD : un pilote “légitime mais vulnérable”
Un point clé de l’attaque concerne l’utilisation du modèle BYOVD. Concrètement, les acteurs chargeraient un pilote associé à OPSWAT AppRemover (le fichier cité est ardrv.sys), décrit comme légitime mais vulnérable, afin de gagner des privilèges plus élevés et de neutraliser des outils de sécurité.
Dans ce cadre, la charge utile finale s’inscrit dans une stratégie d’escalade : la séquence d’exécution tente d’abord d’établir le contrôle, puis d’entraver les protections présentes. Les chercheurs soulignent qu’un pilote vulnérable est lié à une faiblesse référencée comme CVE-2026-36425.
Chargement DLL, contournements et vérifications anti-environnement
Le flux d’exécution décrit s’appuie aussi sur une logique de chargement en cascade, où une étape d’installation déclenche une chaîne de type DLL side-loading. Les détails fournis mentionnent l’usage d’un exécutable signé (provenant de Tencent, d’après le rapport) afin de faire entrer la chaîne malveillante dans un chemin d’exécution qui paraît plus “normal”.
Ensuite, l’attaque effectue des contrôles avant de poursuivre. Un contrôle anti-sandbox basé sur le temps est mentionné : le chargeur mesure l’écart entre le moment attendu et le moment réel d’exécution, et interrompt le processus si l’écart sort du seuil prévu. Cette logique vise à repérer des environnements qui raccourcissent ou altèrent les délais de sommeil.
Le chargeur vérifie aussi l’existence d’un processus associé à Huorong Internet Security (nom cité : HipsTray.exe). Si le processus est présent, la charge utile tente d’affaiblir les privilèges du produit de sécurité, avant d’avancer.
Des fichiers PNG comme “contenants” de code
Au fil de la chaîne, le code malveillant est dissimulé à l’intérieur de fichiers PNG présents dans l’archive. Les chercheurs indiquent que des données chiffrées (shellcode) sont extraites puis déchiffrées pour exécuter des stagers successifs.
Avant de sélectionner la prochaine étape, un test supplémentaire cherche à déterminer si l’exécutable tourne déjà avec des privilèges SYSTEM. Sur la base de ce constat, deux modes de fonctionnement sont décrits : un mode d’injection et un mode de configuration (setup).
Mode injection
Si la charge est déjà exécutée en SYSTEM, la séquence poursuit directement dans le mode d’injection. L’idée est de passer rapidement à l’exécution de l’étape suivante, tout en évitant certaines étapes de persistance.
Mode configuration
Si l’exécution ne dispose pas encore des privilèges attendus, l’attaque bascule vers un mode setup : la charge met d’abord en place une persistance sur la machine, puis déclenche l’étape suivante.
Injection dans vssvc.exe et maintien d’exécution
Dans la logique d’injection, l’attaque parse et déchiffre un shellcode intégré dans un autre fichier PNG. Ensuite, elle injecte la charge dans le processus vssvc.exe, en exécutant la suite dans le contexte de la victime.
Le rapport précise aussi un mécanisme de surveillance : la charge observe l’instance de vssvc.exe et réinjecte le shellcode si le processus s’arrête ou redémarre avec un nouveau PID. Ce comportement vise à garder la chaîne malveillante active.
Persistance via services et tâches planifiées
Dans le mode setup, la séquence lit et déchiffre à nouveau un shellcode à partir du même fichier source, puis effectue une vérification contre une liste de processus “ciblés” liés à Qihoo 360. Si aucun des processus n’est détecté, la charge configure une persistance de type service Windows.
Cette persistance sert à relancer la boucle d’exécution complète, ce qui signifie que l’attaque ne se contente pas d’un unique moment d’exécution : elle cherche à revenir. Après cette configuration, l’injection dans vssvc.exe est réalisée selon la même approche.
Objectif opérationnel : limiter les protections
Le rapport décrit ensuite une liste d’actions réalisées par le payload une fois en place. Le premier ensemble consiste à tenter de modifier des composants liés à AMSI (Antimalware Scan Interface) et à ETW (Event Tracing for Windows). L’objectif est généralement de gêner la détection et l’observabilité.
Ensuite, la persistance est consolidée avec une tâche planifiée. Puis l’attaque s’appuie sur l’installation du pilote vulnérable ardrv.sys associée à la faiblesse citée, dans le but de terminer des processus et d’affaiblir des logiciels de sécurité.
Les chercheurs mentionnent explicitement des produits comme Microsoft Defender, Huorong Internet Security et Tencent PC Manager parmi ceux visés par ces actions de terminaison. L’attaque inclut aussi une étape où un autre payload caché dans un troisième fichier PNG est extrait, déchiffré, puis utilisé pour terminer des processus de sécurité dans l’espace utilisateur.
Déploiement final de Spark RAT
Parallèlement, une quatrième charge utile décrite repose à nouveau sur une logique fondée sur des fichiers PNG. Cette étape extrait et déchiffre du shellcode injecté dans ctfmon.exe, ce qui mène finalement à l’exécution de Spark RAT Cambodge.
Sur la base des informations fournies, Spark RAT est présenté comme un RAT open source, écrit en Go et conçu pour fonctionner de manière cross-plateforme. En pratique, un tel outil permet la prise de contrôle à distance des systèmes compromis.
Liens possibles avec l’écosystème Silver Fox
Le rapport ne conclut pas de manière certaine à une attribution précise, mais il décrit des similarités avec des campagnes associées à un ensemble d’indicateurs connus. Les chercheurs notent que la routine BYOVD fait référence à d’autres pilotes, dont ceux liés à TrueSight et Zemana Anti-Malware SDK. Ils rappellent aussi que ces composants avaient déjà été observés dans des opérations précédentes menées par un acteur nommé Silver Fox (mentionné dans le rapport), notamment lors du déploiement de variantes comme Winos 4.0 (également appelé ValleyRAT).
Par ailleurs, la cible de processus associés à Huorong a été observée à plusieurs reprises dans des incidents liés à ce même écosystème. En plus, certains marqueurs comportementaux sont proches : usage du DLL side-loading via une application signée, livraison en plusieurs étapes, persistance par services et tâches planifiées, ou encore tentatives d’exclusions autour de Microsoft Defender.
Malgré ces convergences, un élément différenciant est mis en avant : les campagnes plus anciennes exploitaient généralement ValleyRAT et d’autres charges sur mesure, alors que, dans ce cas, il s’agit d’un RAT open source. Cette différence affaiblit, selon les chercheurs, un lien d’attribution direct.
Les analystes précisent que l’évaluation reste à faible confiance : l’analyse se base notamment sur l’absence d’infrastructure partagée, le manque de réutilisation de code au niveau des fonctions, et des certificats qui ne correspondent pas. Le rapport indique aussi que des indices de configuration contiennent une valeur en langue chinoise, et que les cibles incluent des produits de sécurité souvent utilisés dans des environnements sinophones.
Ce que cela signifie pour les organisations
Si vous gérez des postes au Cambodge (ou des environnements exposés à des campagnes d’hameçonnage), cette affaire met en lumière plusieurs axes de vigilance. D’abord, la variété des leurres montre que les attaques peuvent s’adapter au contexte local, ce qui rend la sensibilisation et la vérification des pièces jointes essentielles.
Ensuite, la combinaison de persistance, de chargement en chaîne et de neutralisation de protections souligne l’importance de surveiller les comportements plutôt que de se focaliser uniquement sur des signatures. Enfin, la présence d’outils de sécurité peut elle-même devenir un vecteur : le rapport décrit des scénarios où des produits de défense sont directement visés.
À ce stade, les chercheurs indiquent avoir identifié plusieurs éléments malveillants entre la fin juin et le début août 2026, sans certitude sur la poursuite active de la campagne.
Conclusion
La campagne décrite associe plusieurs techniques avancées : phishing multi-thèmes, exécution en plusieurs étapes, chargement DLL, vérifications anti-environnement, persistance et exploitation BYOVD via un pilote vulnérable. Le résultat est un déploiement de Spark RAT Cambodge, capable de prendre le contrôle à distance de machines compromises.
Même si certains signaux évoquent l’écosystème Silver Fox, l’usage d’un RAT open source et l’absence de preuves fortes empêchent pour l’instant de confirmer une attribution. Une chose est claire : la chaîne d’attaque est conçue pour tromper les utilisateurs et perturber les défenses, ce qui justifie une vigilance renforcée.
Source: https://thehackernews.com/2026/08/spark-rat-targets-cambodia-abuses.html
