Uma campanha de malware altamente evasiva, atribuída ao grupo de ameaça persistente avançada (APT) Silver Fox, está visando organizações na Ásia com táticas de engenharia social localizadas e técnicas avançadas de evasão de detecção. A operação, detalhada por pesquisadores da Fortinet, distribui o malware Winos 4.0, também conhecido como ValleyRat, através de e-mails de phishing que se passam por comunicações governamentais legítimas, como notificações de auditoria fiscal.
Vetor de ataque e infecção inicial
Os ataques começam com e-mails de phishing cuidadosamente elaborados que contêm anexos maliciosos ou links incorporados. Essas mensagens imitam correspondência oficial, incluindo notificações de impostos, instaladores de software e downloads de faturas eletrônicas. Quando um usuário interage com esses arquivos, é desencadeada uma cadeia de infecção complexa projetada para operar silenciosamente, minimizando a suspeita imediata.
Técnicas avançadas de evasão e persistência
Após o acesso inicial, os atacantes empregam uma combinação de DLL sideloading e técnicas "Bring Your Own Vulnerable Driver" (BYOVD) para obter persistência e privilégios elevados. Um arquivo compactado contendo uma aplicação legítima é usado para carregar lateralmente uma biblioteca de vínculo dinâmico (DLL) maliciosa na memória. Em seguida, o malware carrega um driver de modo kernel do Windows assinado validamente, chamado wsftprm.sys, para adquirir silenciosamente privilégios de sistema elevados sem alertar os administradores.
Com acesso em nível de kernel, o driver malicioso entra em um loop de monitoramento contínuo para identificar e terminar processos de segurança ativos. Ao direcionar uma vasta gama de ferramentas populares de antivírus e proteção de endpoint, o malware cria um ambiente completamente cego. Isso permite que o Winos 4.0 opere, escale seus privilégios e mantenha comunicação remota com seu servidor de comando sem impedimentos.
Infraestrutura volátil e defesas recomendadas
A infraestrutura da campanha é descrita como altamente volátil, utilizando uma rede rotativa de domínios na nuvem para hospedar suas cargas úteis. Essa mudança rápida de recursos torna o bloqueio estático de domínios tradicional amplamente ineficaz como uma medida de defesa primária.
Para se defender contra essas técnicas sofisticadas, as organizações devem tratar todos os documentos inesperados e links externos com extrema cautela. As equipes de segurança devem implementar ferramentas de monitoramento comportamental, atualizar continuamente as assinaturas de proteção de endpoint e implantar soluções robustas de filtragem de e-mail para detectar proativamente tentativas de phishing evasivas antes que ocorram.