Nep-software-downloadpagina's, die zich voordoen als legitieme leveranciers van populaire applicaties zoals browsers, beveiligingstools en algemene hulpprogramma's, maken gebruik van de gewoonte van gebruikers om bij het zoeken naar software direct op de downloadknop te klikken. Deze misleidende pagina's leiden Windows-gebruikers naar een malwarecampagne die geassocieerd wordt met Silver Fox, ook wel bekend als Yinhu.

Bezoekers van deze nep-pagina's worden doorgestuurd naar een downloadhost die een ZIP-archief aanbiedt. Opmerkelijk is dat twee archieven met dezelfde naam bijna gelijktijdig kunnen worden gedownload, maar met verschillende inhoud. Dit betekent dat het analyseren van een enkele archief-hash onbetrouwbaar is voor het identificeren van elke specifieke kopie, aangezien de bestanden herbouwd kunnen worden terwijl de naam en downloadlocatie hetzelfde blijven.

Wanneer het archief geopend wordt, start een wrapper die kwaadaardige code injecteert in een willekeurig benoemde Windows-map. Een alternatieve methode omvat het gebruik van Windows Installer, een systeemcomponent. Gebruikers die een normale installatie verwachten, merken de op de achtergrond draaiende extra software mogelijk niet op, zeker niet als de zichtbare downloadpagina overtuigend is ontworpen.

In latere fases van de aanval worden geplande taken gecreëerd om de kwaadaardige programma's automatisch opnieuw te starten. Kort na de uitvoering van deze taken met hoge systeembevoegdheden, worden beveiligingsuitsluitingen aangepast. De malware probeert ook Windows Update uit te schakelen, herstelpunten te verwijderen en verbinding te maken met door aanvallers gecontroleerde infrastructuur. Deze aanpassingen bemoeilijken zowel de detectie als de opschoning na het sluiten van het oorspronkelijke installatieprogramma.

Microsoft beoordeelt deze nep-installer campagne met matige zekerheid als zijnde consistent met de activiteiten van Silver Fox. Compromis opgetreden in diverse sectoren, voornamelijk gericht op Chinees sprekende gebruikers, zijn waargenomen. Microsoft heeft de operatie niet toegeschreven aan een door een staat gesteunde actor.

Eerder werd een nep-download van beveiligingssoftware in verband gebracht met een Silver Fox-gerelateerde infectie, hoewel dit afzonderlijke operaties betrof. Andere activiteiten van Silver Fox maakten gebruik van berichten en bijlagen, waarbij belastinggethematiseerde lokmiddelen aantonen dat een schijnbaar geloofwaardig document of bericht de eerste stap kan zijn naar een infectie.

Onderzoekers van Pelagos Intel identificeerden een aparte keten die begon met een financieel gethematiseerd WhatsApp-bericht gericht op een Maleisische ontvanger. Dit bericht bevatte een ondertekend programma en een niet-ondertekende bibliotheek. De bestanden vestigden persistentie en probeerden herhaaldelijk verbinding te maken met een externe server.

Het WhatsApp-geval van Pelagos Intel volgde een andere technische route. Een geldig ondertekende launcher riep functies aan in een niet-ondertekende bibliotheek die zich voordeed als een Windows-desktopcomponent. De bibliotheek decodeerde gegevens en kopieerde de getransformeerde inhoud naar uitvoerbaar geheugen.

Dezelfde bestanden werden vervolgens naar een gebruikersprofiel gekopieerd, met een opstartregistervermelding ingesteld om ze opnieuw uit te voeren. Tijdens tests registreerde Pelagos 96 verbindingspogingen met ongeveer drie seconden tussenpoos. Pelagos observeerde ook een succesvolle decryptieoperatie waarvan de duur overeenkwam met een transformatie die tijdens code-analyse was geïdentificeerd.

Eerdere rapporten over het laden van malware via vertrouwde software benadrukken waarom een geldige handtekening op één bestand niet alle naburige componenten vrijpleit.

Microsoft adviseert om software te downloaden van geverifieerde bronnen, alert te zijn op onverwachte archiefdownloads en verdachte geplande taken of wijzigingen in beveiligingsinstellingen te signaleren met betrekking tot de nep-site campagne. Voor de WhatsApp-keten benadrukt Pelagos de ongebruikelijke opstartvermelding, de gekoppelde bestanden en de regelmatige uitgaande verbindingpogingen als nuttige aanwijzingen voor onderzoek.