Una nuova campagna informatica prende di mira utenti e organizzazioni in Cambogia, distribuendo il trojan Spark RAT tramite una catena d'infezione multi-stadio che sfrutta un driver vulnerabile di OPSWAT per disabilitare i software di sicurezza.
Un'ondata di attacchi informatici sta colpendo individui e organizzazioni in Cambogia, con la diffusione del trojan open-source Spark RAT. Secondo i ricercatori della Acronis Threat Research Unit, le campagne utilizzano temi di esca molto vari, tra cui comunicazioni governative, materiali sanitari, documenti immobiliari e offerte promozionali, per attirare un ampio spettro di vittime.
Catena d'infezione multi-stadio e tecniche BYOVD
L'attacco si distingue per l'uso della tecnica "bring your own vulnerable driver" (BYOVD), che consente di caricare un driver legittimo ma vulnerabile di OPSWAT AppRemover ("ardrv.sys"). Questo driver viene sfruttato per ottenere privilegi elevati e disattivare i software di sicurezza presenti sul sistema.
La diffusione avviene principalmente tramite email di phishing che veicolano archivi compressi contenenti un eseguibile Inno Setup. Gli utenti vengono indotti ad avviare il file grazie a esche che riprendono notifiche governative cambogiane, annunci sanitari, referti dentistici, documenti immobiliari e promozioni commerciali.
Meccanismi di evasione e persistenza
L'installer Inno Setup attiva una catena di side-loading di DLL sfruttando un eseguibile firmato di Tencent, che a sua volta distribuisce payload intermedi. Questi sono responsabili del caricamento del driver vulnerabile "ardrv.sys" e del lancio del payload Spark RAT.
Spark RAT, sviluppato in Go, è un RAT multipiattaforma che permette il controllo remoto dei dispositivi compromessi. Il loader DLL esegue anche controlli anti-sandbox basati sul tempo e verifica la presenza di processi legati a Huorong Internet Security ("HipsTray.exe"), tentando di ridurne i privilegi se rilevati.
In una fase successiva, il malware decifra shellcode nascosto in un file PNG per eseguire uno stager che verifica se dispone di privilegi SYSTEM. In base al risultato, il payload sceglie tra due modalità: "inject mode" (se già SYSTEM) o "setup mode" (se non lo è), in cui prima stabilisce la persistenza tramite servizio Windows e poi rilancia la catena d'infezione.
Disattivazione dei software di sicurezza e attacco finale
Il malware inietta il payload in "vssvc.exe" e ne monitora l'esecuzione, reiniettando la shellcode in caso di riavvio del processo. In modalità setup, controlla l'assenza di processi legati a Qihoo 360 prima di impostare la persistenza tramite task pianificato.
Le azioni principali includono il tentativo di patchare le funzionalità AMSI ed ETW, l'installazione del driver vulnerabile "ardrv.sys" (CVE-2026-36425) per terminare processi di sicurezza come Microsoft Defender, Huorong Internet Security e Tencent PC Manager, e la decifrazione di ulteriori payload da file PNG per terminare processi di sicurezza in modalità user-mode.
Un ulteriore payload viene iniettato in "ctfmon.exe", portando infine all'esecuzione di Spark RAT.
Attribuzione e possibili collegamenti con Silver Fox
La routine BYOVD fa riferimento anche a driver di TrueSight e Zemana Anti-Malware SDK, già utilizzati in passato dall'attore Silver Fox per distribuire ValleyRAT. Anche il targeting dei processi Huorong è stato osservato in precedenti attacchi Silver Fox. Tuttavia, Acronis sottolinea che mancano prove definitive per attribuire questa campagna a Silver Fox, data l'assenza di infrastrutture condivise, riuso di codice o certificati corrispondenti.
Un elemento distintivo è la scelta del malware: Silver Fox ha storicamente utilizzato ValleyRAT e payload personalizzati, ma non Spark RAT, che è open-source. La configurazione di Spark RAT contiene valori in lingua cinese e il malware prende di mira prodotti di sicurezza diffusi in ambienti sinofoni.
Per questi motivi, l'attività viene monitorata come un cluster non attribuito, con possibili legami di sviluppo o distribuzione in lingua cinese e similitudini operative con l'ecosistema Silver Fox, ma con un livello di confidenza basso in attesa di ulteriori evidenze.
