ValleyRAT доставляли с помощью загрузчика HDP и образов дисков

С августа по октябрь 2026 года в ходе операции распространяли бэкдор ValleyRAT для Windows с помощью загрузчика HDP. Исследователи с умеренной уверенностью оценили операцию как с высокой вероятностью связанную с активностью ValleyRAT, имеющей связь с Китаем и обычно известной как Silver Fox.

Загрузка и запуск ValleyRAT

Исследователи проанализировали 44 сборки HDP. Двадцать пять из них подключались к пяти серверам C2, и исследователи отнесли эти сборки к одной операции. В конфигурациях загрузчиков были зашифрованные сведения о серверах C2 и уникальные идентификаторы групп длиной 19 символов. Идентификаторы хранились в открытом виде. Если развернуть последовательность символов, она служила ключом RC4 для расшифровки остальной части конфигурации.

Загрузчики доставляли в ZIP-архивах с образами дисков VHDX, ISO или VHD. Подлинный исполняемый файл с цифровой подписью, часто от китайских поставщиков программного обеспечения, обычно переименовывали в файл с налоговым названием. Он подгружал неподписанную вредоносную DLL. Затем загрузчик скачивал ядро ValleyRAT с инфраструктуры C2, сохранял упакованную полезную нагрузку в реестре по пути HKCU\Console\0 и закреплялся в системе с помощью запланированной задачи.

В некоторых сборках за август также находились два драйвера ядра. В 12 сборках основной иконкой была печать Министерства внутренней безопасности США. В них была встроена стартовая программа Visual Studio на испанском языке. Вредоносное ПО не отображало печать и не использовало её иным образом.

Инфраструктура и признаки операции

Для C2 использовали несколько доменов в зоне .club и один прямой IP-адрес. У трёх доменов совпадали атрибуты регистрации, связанные с именем регистранта KANGYINGJIE в регистраторе 22net. Узел файлообменного сервиса предоставлял пакеты для нескольких инфраструктур C2, в том числе для загрузчиков этой операции. Временные метки пакетов преимущественно приходились на будние рабочие часы в часовом поясе UTC+8.

Исследователи также связали узел доставки с аккаунтом Gname 574849-1923 по общему IP-адресу и приманке на налоговую тему. Этот аккаунт регистрировал домены, которые другие исследователи ранее связывали с активностью Silver Fox, а также с инфраструктурой, использовавшей индийскую налоговую тематику.

Специалистам по защите рекомендовано искать следующие артефакты:

• неподписанные DLL-файлы рядом с переименованными подписанными исполняемыми файлами, запущенными из смонтированных образов дисков;
• запланированные задачи;
• значение реестра с ядром ValleyRAT;
• мьютексы с префиксом pipe, содержащие идентификаторы групп;
• архивы, в именах файлов которых есть временные метки и шестнадцатеричные идентификаторы конфигурации.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.