Silver Fox utilizza un finto installer di Microsoft Teams per diffondere ValleyRAT
Il threat actor noto come Silver Fox sta orchestrando un’operazione di false flag per imitare un gruppo di minaccia russo in attacchi mirati contro organizzazioni in Cina. La campagna di ottrinizzazione SEO sfrutta esche di Microsoft Teams per ingannare gli utenti, inducendoli a scaricare un file di setup malevolo che porta al deployment di ValleyRAT (Winos 4.0), un malware associato a un gruppo di cybercrime cinese. L’attività è in corso dal novembre 2025 e colpisce utenti di lingua cinese, inclusi quelli di organizzazioni occidentali operanti in Cina.
ValleyRAT, variante di Gh0st RAT, permette ai threat actor di controllare remotamente i sistemi infetti, esfiltrare dati sensibili, eseguire comandi arbitrari e mantenere persistenza a lungo termine nelle reti target. La campagna devia gli utenti verso un sito falso che offre il download del presunto software Teams, ma in realtà recupera un file ZIP chiamato “MSTчamsSetup.zip” da un URL Alibaba Cloud, contenente elementi linguistici russi per confondere l’attribuzione. Il file “Setup.exe” è una versione troianizzata di Teams che scansiona processi in esecuzione (come “360tray.exe” di 360 Total Security), configura esclusioni per Microsoft Defender Antivirus e scrive file malevoli in percorsi come AppData\Local\Verifier.exe.
Successivamente, il malware scrive file aggiuntivi come “Profiler.json”, “GPUCache2.xml”, “GPUCache.xml” e “AutoRecoverDat.dll” in AppData\Roaming\Embarcadero, carica dati da JSON e XML, e inietta una DLL malevola nella memoria di rundll32.exe per evadere il rilevamento. Si connette poi a un server esterno per scaricare il payload finale, consentendo il controllo remoto. Gli obiettivi di Silver Fox includono guadagno finanziario tramite furti, truffe e frodi, oltre alla raccolta di intelligence sensibile per vantaggi geopolitici, mantenendo plausibile deniability senza finanziamento governativo diretto.
Nextron Systems ha evidenziato un’altra catena di attacco ValleyRAT che usa un installer troianizzato di Telegram, impiegando la tecnica BYOVD (Bring Your Own Vulnerable Driver) per caricare “NSecKrnl64.sys” e terminare processi di sicurezza. L’installer imposta esclusioni Defender, estrae un eseguibile di secondo stadio (men.exe) da un archivio protetto da password con 7-Zip rinominato, e configura persistenza tramite task programmato che esegue uno script VBE codificato. Men.exe enumera processi di sicurezza, carica il driver vulnerabile tramite “NVIDIA.exe”, esegue ValleyRAT e dropa “bypass.exe” per escalation di privilegi UAC.
Sulla superficie, le vittime vedono un installer normale, ma in background il malware stages file, deploya driver, manipola difese e lancia un beacon ValleyRAT per accesso a lungo termine. Questa campagna segna una deviazione dalle precedenti che usavano esche come Google Chrome, Telegram, WPS Office e DeepSeek.
Fonte (https://thehackernews.com/2025/12/silver-fox-uses-fake-microsoft-teams.html)
