La ricerca evidenzia l’uso di phishing con false comunicazioni governative che portano all’accesso remoto con tecniche multi-stage e abuso di driver vulnerabili per eludere le difese degli endpoint
Acronis, leader globale nella protezione informatica tramite il team Acronis Threat Research Unit (TRU), ha identificato una nuova campagna cyber rivolta a privati e organizzazioni in Cambogia, caratterizzata da una sofisticata catena d’infezione multi-stage e dall’impiego combinato di tecniche di evasione, persistenza e compromissione delle difese. I contenuti fanno riferimento a comunicazioni governative cambogiane, dati sulla salute pubblica, esami odontoiatrici, documentazione immobiliare e offerte promozionali. La campagna combina l’impiego di SparkRAT, un trojan di accesso remoto open source e multipiattaforma scritto in Go e rilasciato pubblicamente nel 2022.
Acronis sottolinea che la valutazione sugli obiettivi target si basa principalmente sui nomi degli archivi e sui contenuti utilizzati. L’assenza di una completa telemetria sulle vittime non consente di determinare con certezza la reale estensione della campagna o il numero di sistemi coinvolti. Campioni simili sono stati osservati da fine di giugno fino a inizio agosto, indicando un’attività protrattasi per diverse settimane.
Una catena d’infezione multi-stage con payload nascosti nei file PNG
L’attacco parte da un installer Inno Setup contenuto in un archivio compresso e denominato: “Cambodian Government Notice on COVID-19 Prevention and Control (July 7).docx.exe”. Una volta eseguito, l’installer crea una directory nascosta e vi deposita i componenti successivi. Una caratteristica significativa della campagna è l’utilizzo di file apparentemente innocui per nascondere ulteriori componenti malevoli. Prima di accedere al payload, il malware verifica la presenza di processi appartenenti a Huorong Internet Security, prodotto antivirus ed endpoint security sviluppato in Cina.
Persistenza e compromissione delle difese con abuso di un driver vulnerabile
La campagna implementa diversi meccanismi per mantenere l’accesso al sistema compromesso. Il malware crea un servizio Windows e un’attività pianificata denominata TaskHandler e monitora vssvc.exe per poter ripetere l’iniezione dopo un eventuale riavvio. La process injection trasferisce l’esecuzione all’interno di processi Windows legittimi, tra cui vssvc.exe, ctfmon.exe e svchost.exe, rendendo più difficile distinguere l’attività malevola dai normali processi di sistema. Uno degli aspetti più rilevanti della campagna è l’utilizzo della tecnica Bring Your Own Vulnerable Driver (BYOVD), che vede la distribuzione di un driver interessato dalla vulnerabilità CVE-2026-36425, driver che viene utilizzato per contribuire alla terminazione di processi appartenenti a prodotti di sicurezza a livello kernel.
SparkRAT al termine della catena, analogie con SilverFox e collegamenti con ambienti di lingua cinese
La fase finale della catena porta all’esecuzione di SparkRAT, caricato in modo riflessivo all’interno di un processo Windows legittimo. Il payload fornisce agli operatori funzionalità di accesso e controllo remoto del sistema compromesso. La campagna presenta diverse similitudini con attività precedentemente associate a SilverFox. Tra gli elementi comuni figurano DLL sideloading attraverso applicazioni firmate, distribuzione multi-stage, persistenza tramite servizi e attività pianificate, esclusioni di Microsoft Defender, process injection e utilizzo di driver vulnerabili per interferire con i prodotti di sicurezza.
La configurazione di SparkRAT contiene inoltre un valore in lingua cinese e il malware prende di mira diversi prodotti di sicurezza comunemente utilizzati in ambienti cinesi. Questi elementi sono compatibili con un possibile ambiente di sviluppo o distribuzione in lingua cinese, ma non costituiscono una prova della nazionalità degli operatori o della loro posizione geografica.
Una minaccia che combina più livelli di evasione e come proteggersi
La campagna dimostra come gli attaccanti stiano combinando diverse tecniche per superare progressivamente i sistemi di sicurezza: dal social engineering localizzato al DLL sideloading, dai payload nascosti nei file PNG alla process injection, fino alla persistenza e all’abuso di driver vulnerabili. Ogni fase svolge una funzione specifica: l’installer prepara l’ambiente, il loader avvia il codice malevolo, i file PNG nascondono i payload, i controlli anti-sandbox ostacolano l’analisi, la process injection maschera l’esecuzione e i meccanismi di persistenza garantiscono la continuità dell’accesso. Parallelamente, il malware tenta di indebolire le difese attraverso la manipolazione dei privilegi, le modifiche a Microsoft Defender, l’interferenza con AMSI ed ETW e la tecnica BYOVD.
Per ridurre il rischio di compromissione, Acronis raccomanda alle organizzazioni di condurre regolarmente attività di security awareness per aiutare gli utenti a riconoscere email di phishing e allegati sospetti. È inoltre fondamentale adottare soluzioni di endpoint detection and response (EDR) capaci di rilevare e bloccare attività malevoli come DLL sideloading, process injection e tentativi di defense evasion. I team di sicurezza dovrebbero monitorare la creazione inattesa di nuovi servizi, attività pianificate ed esclusioni di Microsoft Defender, che possono indicare tentativi di persistenza o indebolimento delle protezioni.
I clienti Acronis sono protetti: la campagna viene rilevata e bloccata da Acronis EDR/XDR.
