#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Microsoft зафиксировала кампанию, связанную с группировками Silver Fox/Yinhu, в ходе которой для доставки ВПО использовались поддельные китайскоязычные сайты загрузки программного обеспечения. Цепочка заражения включает вредоносные архивы или файлы MSI, закрепление через запланированные задачи, злоупотребление привилегиями, внедрение кода в процессы и обход защиты, в том числе добавление исключений в Defender и удаление теневых копий. Полезные нагрузки взаимодействуют с ротирующимися доменами и нестандартными портами, при этом операторы также пытаются осуществлять перемещение внутри компании по протоколу SMB и выполнять действия в режиме hands-on-keyboard.
-----

Microsoft отслеживала активную кампанию, в ходе которой с использованием поддельных сайтов для загрузки программного обеспечения распространялись вредоносные установщики. Деятельность в первую очередь затрагивала китайские подразделения многонациональных организаций, а также пользователей, говорящих на китайском языке, в секторах здравоохранения, производства, игрового бизнеса, технологий, логистики, государственного управления и образования. В качестве приманок часто использовались домены, ассоциированные с Китаем, такие как `.com.cn`, `.hl.cn` и `.cn`, при этом хосты для доставки менялись, а предположительно бакет Alibaba Cloud Object Storage Service предоставлял вредоносные архивы. Microsoft с умеренной степенью уверенности оценивает, что кампания соответствует публично задокументированной активности Silver Fox/Yinhu, однако не приписывает её актору на уровне государства.

Цепочка заражения начинается, когда пользователь загружает и извлекает архив с помощью Microsoft Edge и таких инструментов, как 7-Zip, 360zip или WinRAR. Встроенный обёрточный запускатель (wrapper) запускает исполняемый файл со случайным именем из таких каталогов, как `C:\ProgramData` или `C:\Users\Public`. Некоторые полезныe нагрузки маскируются под Indigo Rose TrueUpdate Client и злоупотребляют его легитимным поведением обновления для получения дополнительных этапов из Alibaba Cloud OSS по TLS. Альтернативный метод доставки вызывает `msiexec.exe` во встроенном режиме, в результате чего исполняемый файл со случайным именем записывается и запускается из каталога, доступного для записи всем пользователям.

Закрепление (Persistence) обеспечивается с помощью запланированных задач с безобидными на вид именами. Эти задачи многократно запускают полезную нагрузку из каталога `C:\ProgramData`, формируя цикл выполнения длительностью около 60 секунд. ВПО создает временные запланированные задачи уровня SYSTEM с использованием команды `SCHTASKS /RL HIGHEST /RU SYSTEM` для выполнения привилегированных действий, включая изменение исключений Microsoft Defender, после чего удаляет эти задачи. Также осуществляется внедрение кода в процессы (Process Injection) путем создания удаленных потоков в легитимных пользовательских приложениях.

ВПО пытается ослабить средства защиты, добавляя широкие исключения для Microsoft Defender, записывая вредоносные политики Windows Defender Application Control, отключая или изменяя компоненты Windows Update, а также удаляя теневые копии. Компоненты поздних этапов взаимодействия общаются по нестандартным портам, включая 5090, 7031, 7032, 7088–7090, 8050, 28290 и 28300. Инфраструктура C2 включает в себя ротацию шестизначных доменов `.net` и конечные точки в формате «IP-адрес:порт», при этом зафиксирован узел-хаб по адресу `202.95.14.237`. Microsoft также зафиксировала попытки перемещения внутри компании по протоколу SMB и интерактивную активность злоумышленника в режиме «руки на клавиатуре».