Cato CTRL ha documentado una campaña de SilverFox, el grupo APT chino, contra un fabricante industrial japonés, empleando ValleyRAT y una cadena de ataque que mezcla DLL sideloading inédito con tres drivers de kernel. El hallazgo más relevante no es el RAT en sí, sino la arquitectura de persistencia dual que mantiene el acceso incluso si el defensor elimina componentes clave.
El ataque arranca con un correo de factura temático y contenido alojado en servicios legítimos de QQ y Tencent Cloud. La ingeniería social sigue siendo la puerta de entrada predilecta de los grupos de ciberespionaje. Hace años escribí en El quinto elemento que el próximo 11S empezará con un clic; campañas como esta demuestran que la guerra digital ya no necesita bombarderos.
El análisis de Cato CTRL revela que los atacantes usan dos aplicaciones firmadas de Zeon Corporation —ConvertToPDF.exe y PDFDirect.exe— como vectores de DLL sideloading. Windows resuelve las dependencias desde el directorio de trabajo, por lo que basta colocar una DLL maliciosa con el nombre esperado en la misma carpeta. En este caso, PDFCORE8.dll es la pieza central: contiene en su interior, cifrados como recursos, los tres drivers y toda la lógica de despliegue.
La cadena de ataque: de la factura al kernel driver
Una vez cargada, PDFCORE8.dll actúa como un marco ejecución autónomo. Lo más peligroso es que lleva integrados drivers firmados pero vulnerables: BootRepair.sys, EnPortv.sys y wsftprm.sys. Los dos primeros no se habían vinculado antes a SilverFox. El malware los carga mediante la técnica bring-your-own-vulnerable-driver (BYOVD) y los utiliza para ejecutar código en kernel, con capacidad para terminar procesos de seguridad que el modo usuario no puede tocar.
El componente en modo usuario enumera los procesos activos, los compara con una lista preconfigurada de herramientas de seguridad y pasa los PIDs al driver cargado. Este, desde el kernel, llama a ZwTerminateProcess() para eliminarlos. Además, el malware desengancha las funciones de NTDLL reemplazando la sección .text desde disco, eliminando así los hooks de monitorización en línea.
Tras despejar el terreno, contacta con su C2 en 43.128.26[.]132, descarga shellcode y lo inyecta en un proceso svchost.exe suspendido mediante secuestro de contexto de hilo. Tanto el shellcode como la configuración se almacenan en el registro de Windows: en HKCU\Console\0 y en HKLM\SOFTWARE\IpDates_sun, respectivamente.
SilverFox ha tejido una red de persistencia que obliga al defensor a eliminar simultáneamente el payload inyectado, el loader residente y el watchdog externo. Un descuido y la infección regresa.
Persistencia dual: el talón de Aquiles del defensor
La clave de la resiliencia está en el marcador FaCai2024. Antes de ejecutar el shellcode, el marco busca esa cadena y la sustituye por la configuración real recuperada del registro. ‘Fa Cai’ significa ‘hazte próspero’ en mandarín, y Tencent Security ya lo vinculó a una campaña anterior de phishing con la misma ubicación de registro.
Pero la verdadera genialidad operativa es la redundancia. Un monitor interno comprueba en cada ciclo si el proceso svchost.exe sigue activo, y si no, regenera el payload. Un watchdog externo —un script por lotes incrustado en los recursos de la DLL y ejecutado mediante cmd.exe— verifica cada 30 segundos si el loader sigue funcionando, y lo relanza si es necesario. Eliminar solo una pieza es inútil: el ataque se reconstruye solo.
Cato CTRL recomienda basar la detección en secuencias de comportamiento, no en indicadores aislados. Ver ConvertToPDF.exe ejecutándose desde %TEMP%, la aparición de servicios de driver para cualquiera de los tres controladores, escritura de datos binarios en HKCU\Console\0, o find.exe corriendo repetidamente desde cmd.exe, cada uno por separado puede ser ruido: juntos, configuran esta cadena.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque persistente avanzado, con spear-phishing, DLL sideloading, BYOVD y persistencia dual. La agencia atacante es SilverFox, atribuido por la comunidad de inteligencia al Ministerio de Seguridad del Estado chino (MSS). La víctima es un fabricante industrial japonés. Sin embargo, la mayoría de las herramientas empleadas es reutilizable contra cualquier objetivo del sector industrial occidental. Por eso, en el CNI no se subestima esta campaña. Fuentes de la Casa de Castelló me confirman que monitorizan de cerca estas técnicas, conscientes de que fabricantes españoles del ramo automovilístico o de defensa podrían estar en el punto de mira.
Le pongo en contexto, lector. Desde Stuxnet, los actores patrocinados por Estados han refinado el arte de saltar del mundo cibernético al físico. SilverFox lleva años operando contra sectores industriales en Asia, pero la modularidad de su nuevo marco BYOVD —con tres drivers intercambiables— eleva el listón de la evasión. El diseño permite cambiar de driver casi sobre la marcha, dificultando las firmas de detección. La doctrina china de ciberespionaje industrial prioriza la persistencia sobre la velocidad, y esta campaña lo demuestra.
En cuanto al nivel de clasificación, a juzgar por la naturaleza del objetivo y la sofisticación del malware, estimo que el material comprometido rondaría el nivel ‘Confidencial’ o ‘Reservado’, propio de secretos comerciales sensibles. Los japoneses llevan años blindando sus cadenas de suministro; que SilverFox haya logrado penetrar indica un esfuerzo considerable de inteligencia de señales (SIGINT). El informe de Cato CTRL es público, pero las implicaciones para la seguridad de aliados en el Indo-Pacífico y Europa merecen un tratamiento reservado. Miro hacia el futuro próximo: cuando el grupo lance su próximo módulo de driver, quienes no hayan parcheado el comportamiento, no el IOCs, volverán a tropezar.
