Китайская киберпреступная группа Silver Fox, действующая как минимум с декабря 2025 года, за несколько месяцев охватила атаками Японию, Тайвань, Индию, Малайзию, Филиппины, Таиланд, Индонезию и Сингапур. Основная цель — китайскоязычные сотрудники: менеджеры среднего звена и финансовые специалисты. Группа также известна под псевдонимами SwimSnake, Valley Thief, UTG-Q-1000 и Void Arachne.
Главная техническая новинка кампании — троян AtlasCross RAT, он же AtlasAgent. Это не самостоятельная разработка с нуля: в основе лежит протокол Gh0st RAT, но поверх него надстроен фреймворк PowerChell — самописный движок исполнения PowerShell на нативном C/C++, который загружает CLR прямо внутри вредоносного процесса. Перед выполнением команд AtlasCross RAT отключает AMSI, ETW, Constrained Language Mode и логирование ScriptBlock. Трафик к командному серверу шифруется ChaCha20 с одноразовыми ключами, генерируемыми через аппаратный генератор случайных чисел для каждого пакета отдельно.
Среди возможностей трояна — прицельная инъекция DLL в процессы WeChat, перехват RDP-сессий, создание постоянных задач в планировщике, файловые и шелл-операции. Примечательна одна деталь: вместо классической техники BYOVD (использование уязвимого драйвера) AtlasCross RAT просто обрывает TCP-соединения продуктов китайских же вендоров безопасности — 360 Safe, Huorong, Kingsoft и QQ PC Manager — на уровне сетевого стека.
Немецкая компания Hexastrike опубликовала технический разбор AtlasCross RAT и зафиксировала 11 поддельных доменов, через которые распространяется малварь. Большинство из них зарегистрированы в один день — 27 октября 2025 года. В списке: (имитирует Zoom), (Signal), (Telegram), (Trezor), (QuickQ VPN), (Surfshark VPN), (UltraViewer), (мессенджер WangWang), (KeFuBao — китайский сервис для e-commerce), (Microsoft Teams) и с неустановленной имитацией. Все установщики подписаны похищенным EV-сертификатом, выданным на компанию DUC FABULOUS CO.,LTD из Ханоя, Вьетнам. Этот же сертификат всплывал в совершенно разных, никак не связанных кампаниях.
Цепочка заражения выглядит так: пользователь переходит по ссылке из WeChat, QQ или фишингового письма и скачивает ZIP-архив. Внутри — установщик, который сбрасывает троянизированный бинарник Autodesk вместе с легитимным приложением-прикрытием. Trojanized-установщик Autodesk запускает загрузчик шеллкода, тот расшифровывает встроенную конфигурацию Gh0st RAT, извлекает адрес командного сервера и скачивает финальный шеллкод с bifa668[.]com через TCP на порту 9899. AtlasCross RAT исполняется целиком в памяти, не оставляя файлов на диске.
Китайский вендор Knownsec 404 охарактеризовал Silver Fox как одну из наиболее активных киберугроз региона и детально описал стратегию работы с доменами: группа сочетает тайпсквоттинг, угон доменов, манипуляции с DNS и региональную маркировку. В Японии, где атаки нацелены на производственные компании, приманки имитируют уведомления о нарушениях налогового законодательства, корректировках зарплат, изменениях должностей и программах участия сотрудников в акционерном капитале. На Тайване ранние волны атак использовали вредоносные PDF-вложения. В Индии, по данным eSentire за январь 2026 года, применяется Blackmoon malware с налоговой тематикой.
Французская компания Sekoia описала модель работы Silver Fox как двухколейную: группа одновременно ведёт широкие оппортунистические операции ради прибыли и точечные APT-атаки стратегического характера. Именно этим объясняется использование легитимного китайского RMM-инструмента SyncFuture TSM в некорректно настроенном виде и Python-стилера, замаскированного под WhatsApp. ESET на прошлой неделе сообщила о спир-фишинговой кампании с ValleyRAT (известным также как Winos 4.0) против японских производителей — для сбора чувствительных данных и закрепления в системах.
Полный арсенал группы помимо AtlasCross RAT включает ValleyRAT/Winos 4.0, Gh0stCringe, HoldingHands RAT (он же Gh0stBins), Blackmoon и упомянутый Python-стилер под видом WhatsApp. Такое разнообразие инструментов при общей инфраструктуре и прослеживаемом почерке — характерная черта групп, которые обслуживают одновременно несколько типов заказчиков или задач.
Изображение носит иллюстративный характер
Главная техническая новинка кампании — троян AtlasCross RAT, он же AtlasAgent. Это не самостоятельная разработка с нуля: в основе лежит протокол Gh0st RAT, но поверх него надстроен фреймворк PowerChell — самописный движок исполнения PowerShell на нативном C/C++, который загружает CLR прямо внутри вредоносного процесса. Перед выполнением команд AtlasCross RAT отключает AMSI, ETW, Constrained Language Mode и логирование ScriptBlock. Трафик к командному серверу шифруется ChaCha20 с одноразовыми ключами, генерируемыми через аппаратный генератор случайных чисел для каждого пакета отдельно.
Среди возможностей трояна — прицельная инъекция DLL в процессы WeChat, перехват RDP-сессий, создание постоянных задач в планировщике, файловые и шелл-операции. Примечательна одна деталь: вместо классической техники BYOVD (использование уязвимого драйвера) AtlasCross RAT просто обрывает TCP-соединения продуктов китайских же вендоров безопасности — 360 Safe, Huorong, Kingsoft и QQ PC Manager — на уровне сетевого стека.
Немецкая компания Hexastrike опубликовала технический разбор AtlasCross RAT и зафиксировала 11 поддельных доменов, через которые распространяется малварь. Большинство из них зарегистрированы в один день — 27 октября 2025 года. В списке: (имитирует Zoom), (Signal), (Telegram), (Trezor), (QuickQ VPN), (Surfshark VPN), (UltraViewer), (мессенджер WangWang), (KeFuBao — китайский сервис для e-commerce), (Microsoft Teams) и с неустановленной имитацией. Все установщики подписаны похищенным EV-сертификатом, выданным на компанию DUC FABULOUS CO.,LTD из Ханоя, Вьетнам. Этот же сертификат всплывал в совершенно разных, никак не связанных кампаниях.
Цепочка заражения выглядит так: пользователь переходит по ссылке из WeChat, QQ или фишингового письма и скачивает ZIP-архив. Внутри — установщик, который сбрасывает троянизированный бинарник Autodesk вместе с легитимным приложением-прикрытием. Trojanized-установщик Autodesk запускает загрузчик шеллкода, тот расшифровывает встроенную конфигурацию Gh0st RAT, извлекает адрес командного сервера и скачивает финальный шеллкод с bifa668[.]com через TCP на порту 9899. AtlasCross RAT исполняется целиком в памяти, не оставляя файлов на диске.
Китайский вендор Knownsec 404 охарактеризовал Silver Fox как одну из наиболее активных киберугроз региона и детально описал стратегию работы с доменами: группа сочетает тайпсквоттинг, угон доменов, манипуляции с DNS и региональную маркировку. В Японии, где атаки нацелены на производственные компании, приманки имитируют уведомления о нарушениях налогового законодательства, корректировках зарплат, изменениях должностей и программах участия сотрудников в акционерном капитале. На Тайване ранние волны атак использовали вредоносные PDF-вложения. В Индии, по данным eSentire за январь 2026 года, применяется Blackmoon malware с налоговой тематикой.
Французская компания Sekoia описала модель работы Silver Fox как двухколейную: группа одновременно ведёт широкие оппортунистические операции ради прибыли и точечные APT-атаки стратегического характера. Именно этим объясняется использование легитимного китайского RMM-инструмента SyncFuture TSM в некорректно настроенном виде и Python-стилера, замаскированного под WhatsApp. ESET на прошлой неделе сообщила о спир-фишинговой кампании с ValleyRAT (известным также как Winos 4.0) против японских производителей — для сбора чувствительных данных и закрепления в системах.
Полный арсенал группы помимо AtlasCross RAT включает ValleyRAT/Winos 4.0, Gh0stCringe, HoldingHands RAT (он же Gh0stBins), Blackmoon и упомянутый Python-стилер под видом WhatsApp. Такое разнообразие инструментов при общей инфраструктуре и прослеживаемом почерке — характерная черта групп, которые обслуживают одновременно несколько типов заказчиков или задач.
