Диспетчеризация Silver Fox зависит от времени суток
В цепочке доставки Silver Fox сопоставление доменов дополняется временным условием. Примерно с 00:00 до 08:00 запросы, связанные с доменами Silver Fox, как правило, возвращали www.360.com/ вместо URL для загрузки вредоносного ПО. Вне этого временного окна те же домены обычно возвращали ротационные точки входа, в том числе oj44472.com/insdow92, wqhu584.com/10load, wenb481.com/down666 и eyqw474.com/11load. Ответ 360 служит сигналом обнаружения, но его не следует считать вредоносным IoC или URL образца.
Цепочка доставки включает поддельные страницы загрузки, ретрансляционную инфраструктуру из списка relays.json, API диспетчеризации api.php и точку входа для загрузки, управляемую через параметр download_link. Исследователи изучали этап диспетчеризации и ответов, а не сам вредоносный код. С 14 по 17 сентября 2026 года кандидатские домены передавались в заголовке HTTP Referer, а с 18 сентября для этого использовался параметр запроса h. Параметр t содержал временную метку в миллисекундах. Среди производственных узлов были noah-ssh.com.cn и game-houtai2.com.cn, позднее к ним добавился game-houtai9.com.cn.
В контролируемом эксперименте каждые 30 минут через прокси-сервер и напрямую проверяли восемь исходных доменов Silver Fox и контрольные домены, полученные удалением первого символа. Всего собрали 30 688 результатов. Группы исходных доменов вернули ответ 360 2034 раза через прокси и 2025 раз напрямую. Для групп с некорректными доменами таких ответов не зафиксировали. Когда оба способа проверки возвращали непустые значения, результаты совпадали. Это указывает на отсутствие наблюдаемой зависимости от адресов исходящих соединений тестового клиента. Нулевые результаты появлялись периодически, связать их с конкретной причиной не удалось.
В 27 ежедневных отчётах по производственной среде зафиксировали 2043 срабатывания по доменам. После дедупликации по дням осталось 1930 уникальных доменов. Дата активации и назначение серверного правила остаются неизвестными, а ответ 360 не позволяет извлечь образцы Silver Fox.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
