Description des événements MISP associés
Présentation
Révélé pour la première fois sous ce nom par la société chinoise Beidu en mars 2023, Silver Fox est un groupe cybercriminel chinois spécialisé dans les attaques ciblées contre des secteurs critiques tels que la finance, le gouvernement, les entreprises de sécurité informatique, le secteur de la vente et de l'éducation. Il serait actif depuis mai 2021. Le groupe utilise divers canaux pour distribuer ses chevaux de Troie, tels que des courriels, des sites de phishing et des logiciels de messagerie instantanée. Les thèmes de prédilection des attaquants pour leurs campagnes tournent souvent autour de problématiques de comptabilité, de sujets financiers et/ou fiscaux, et impliquent souvent de faire passer des exécutables malveillants pour des outils légitimes et populaires en Chine.
Certains auteurs, comme Knownsec 404, ont évoqué la possibilité que les attaques de "Silver Fox" pourraient en réalité cacher une APT de cyber-espionnage, sans toutefois donner plus de crédit à cette hypothèse que d'affirmer que des institutions gouvernementales ont été visées.
La particularité de Silver Fox, en regard des fiches ATK que l'on publie habituellement, est qu'il s'agit d'un acteur cybercriminel chinois, visant la Chine. En effet, on a en général assez peu d'informations sur les attaques détectées en Chine, en raison des politiques restrictives du pays sur ce que les entreprises peuvent rendre public, des mesures techniques en vigueur sur le territoire (Grand Pare-Feu), et dans une moindre mesure, de la barrière de la langue. Ainsi, les informations fournies dans la présente fiche sont issues des éléments corroborés à l'instant T par nos analystes, mais sont susceptibles d'être mis à jour.
Relation avec d'autres groupes
Silver Fox partage notamment de nombreuses caractéristiques avec un groupe documenté par Trend Micro en juin 2024 : Void Arachne. Ces similitudes dans les techniques d'attaque et les outils employés, tels que l'usage de Winos et Gh0st RAT, nous ont amené à les considérer ici comme une même entité.
Vecteur d'attaque initial
Selon 360 CERT, Silver Fox combine trois vecteurs principaux pour ses campagnes :
- des logiciels de messagerie instantanée (comme WeChat),
- des pages de phishing sur le web, mises en avant dans les moteurs de recherche via des techniques dites de SEO sur des mots-clés notamment en rapport avec les impots,
- des courriels de spear-phishing.
Les chercheurs ont pu constater que les attaquants profitaient largement des messageries instantanées comme WeChat, pour élargir la diffusion de leurs malwares dans les environnements de bureau : une fois qu'un système est compromis, le groupe prend le contrôle des comptes WeChat de la victime, les utilisant pour envoyer des fichiers malveillants ou des liens de phishing aux groupes auxquels il appartient (ses collègues), ce qui permet une propagation rapide et discrète du malware au sein de l'entreprise.
Les fichiers malveillants sont souvent déguisés en documents financiers officiels, envoyés sous forme de programmes exécutables (EXE), de documents CHM, ou d’installateurs MSI. Le groupe utilise également des techniques de compression rares, comme le format bzip2, pour échapper à la détection par les logiciels de sécurité.
Autres outils et techniques
Silver Fox emploie des techniques sophistiquées telles que la stéganographie, dissimulant des malwares dans des images récupérées depuis des services de cloud publics. Le groupe utilise également des techniques de "white and black" (combinaison d'exécutables légitimes et de DLL malveillantes) pour exécuter du code à partir de processus légitimes.
Outils
Voici quelques outils utilisés par le groupe :
- Le RAT sur étagère Gh0st ainsi que diverses variantes sur mesure. Les premières variantes étaient surnommées "Silver Fox", comme le groupe lui-même.
- Winos : Un RAT écrit en C++ pour Windows. Il implémente un système de plugins façon Cobalt Strike permettant aux attaquants de lui ajouter facilement de nouvelles fonctions.
- ValleyRAT : un autre RAT écrit en C++ et compilé en chinois. Découvert début 2023, il est modulaire et ses infections impliquent souvent le chaînage de nombreuses étapes, avec une utilisation importante de shell code.
- Enfin, des loaders écrits en Go sont également utilisés pour leur portabilité et leur capacité à échapper à l'analyse.