Un'ondata di malware colpisce le aziende multinazionali in Cina: siti di download contraffatti distribuiscono installer che disattivano Windows Update e indeboliscono Microsoft Defender, lasciando le reti aziendali vulnerabili a intrusioni e furti di dati.
Un attacco informatico mirato ha messo in ginocchio le difese di numerose aziende multinazionali con operazioni in Cina: installer fasulli, scaricati da siti web che imitano perfettamente i portali di software legittimi, stanno disattivando Windows Update e sabotando Microsoft Defender, lasciando i sistemi esposti a ulteriori compromissioni.
Il cuore della strategia criminale è la creazione di siti .com.cn e .hl.cn che replicano in modo quasi indistinguibile le pagine ufficiali di fornitori come Microsoft Edge, Baidu Pan, Kaspersky e altri. Questi portali, scritti in cinese e con inviti al download ben visibili, distribuiscono archivi ZIP che, una volta aperti, rilasciano installer malevoli con nomi apparentemente innocui come "a_instapp83353001.exe". Ogni download genera un payload unico, rendendo difficile l'individuazione tramite hash.
Come agisce il malware: persistenza e sabotaggio delle difese
Una volta eseguito, il malware si assicura la persistenza creando task pianificati che imitano processi IT di routine. Ma il vero colpo basso arriva subito dopo: tramite PowerShell, il codice malevolo imposta esclusioni su Microsoft Defender, cancella le copie shadow dei volumi e modifica i permessi delle cartelle per impedirne la rimozione agli utenti standard. In parallelo, i servizi chiave di Windows Update (wuauserv, UsoSvc, uhssvc, WaaSMedicSvc) vengono fermati e disabilitati, i file DLL di aggiornamento vengono rinominati e la cache SoftwareDistribution viene eliminata.
Il controllo remoto è garantito da una comunicazione C2 su porte non standard (5090, 7031, 7032, 7088-7090, 8050, 28290, 28300) verso domini come "iualef[.]net" e "oijfwe[.]net". Microsoft ha rilevato anche una variante che sfrutta il servizio msiexec.exe per lanciare eseguibili camuffati, replicando la stessa catena di infezione.
Obiettivi e tecniche: la firma di Silver Fox
Secondo Microsoft, la campagna è riconducibile con moderata certezza al gruppo Silver Fox (Yinhu), già noto per l'uso di pagine di download contraffatte e la diffusione di Gh0st RAT e ValleyRAT. Le vittime spaziano dalla sanità al manifatturiero, dal gaming alla pubblica amministrazione, con un focus particolare su utenti e aziende di lingua cinese.
Non è la prima volta che strumenti apparentemente legittimi vengono sfruttati per aggirare le difese: Kaspersky ha recentemente documentato un installer malevolo che utilizza una versione modificata di QN Wallpaper per avviare una catena di DLL sideloading e installare ValleyRAT. In questo scenario, il malware si maschera da processo firmato, rendendo la rilevazione ancora più complessa. ValleyRAT, oltre a proteggere il proprio processo e impedire la terminazione, registra tasti e contenuti della clipboard, effettua screenshot, aggiorna indirizzi C2 e può scaricare moduli aggiuntivi.
Impatto sulle aziende e risposta delle difese
Le aziende colpite si trovano improvvisamente con sistemi privi di aggiornamenti e con Microsoft Defender reso inefficace, una situazione che apre la strada a ulteriori attacchi e furti di dati sensibili. Microsoft ha confermato che Defender ha attivato procedure automatiche di contenimento per limitare i danni, ma il vero obiettivo finale degli attaccanti resta poco chiaro.
Il fenomeno non è isolato: secondo Expel, ValleyRAT è stato attribuito anche a CuboidalCanine, sottogruppo di GoldenEyeDog, che ha abbandonato Gh0st RAT per puntare su nuove tecniche di watering hole e abuso di certificati di firma per eludere i controlli di sicurezza. La pubblicazione del codice sorgente di questi malware rende l'attribuzione ancora più complessa, come sottolineato dal ricercatore Aaron Walton.
La corsa tra attaccanti e difensori
Le autorità cinesi hanno già avviato azioni contro nuove varianti del trojan Silver Fox, ma la rapidità con cui i gruppi criminali aggiornano le proprie tecniche lascia poco margine di respiro alle difese aziendali. Il quadro che emerge è quello di una guerra di logoramento, dove ogni vulnerabilità di Windows viene sfruttata per ottenere accesso e controllo duraturo sulle reti delle vittime.
Non è la prima volta che Microsoft Defender finisce al centro di attacchi sofisticati: come riportato in precedenza, anche i driver di sistema sono stati sfruttati per aggirare le protezioni, segno che la fiducia negli strumenti di sicurezza non può mai essere cieca.
La realtà è che la sicurezza informatica aziendale non può più permettersi di affidarsi solo a strumenti predefiniti o a una semplice "best practice". La capacità degli attaccanti di sfruttare la fiducia nei brand, di generare payload unici e di sabotare le difese dall'interno impone una revisione radicale delle strategie di protezione. Chi si limita ad aggiornare i software senza verificare la fonte, o si affida ciecamente a Defender, rischia di scoprire troppo tardi che la porta era già stata spalancata dall'interno. In questo scenario, la vera differenza la fa la capacità di individuare comportamenti anomali e di reagire in tempo reale, non la semplice presenza di un antivirus o di un firewall.
