- Grupul chinez Silver Fox folosește un troian scris în Rust, MODBEACON, care exploatează gRPC pentru a ascunde traficul C2, folosind SEO poisoning pentru distribuție.
Grupul de criminalitate cibernetică Silver Fox, asociat cu China, a fost identificat ca autorul unui nou troian de acces remote (RAT) scris în Rust, denumit MODBEACON. Descoperit de compania chineză de securitate QiAnXin, acest malware folosește o tehnică inedită de comunicare cu serverul de comandă și control (C2): streaming-ul gRPC criptat.
Ce face MODBEACON și cum se răspândește
MODBEACON este un RAT conceput să fure informații și să ofere acces complet atacatorilor asupra sistemului infectat. Deși la prima vedere Silver Fox pare o operațiune de nivel scăzut, dar agresivă, care propagă malware prin instalatori falși distribuiți via SEO poisoning (otrăvirea rezultatelor motoarelor de căutare), QiAnXin atrage atenția că organizația reală este mult mai sofisticată. Practic, infractorii creează site-uri false care imită aplicații populare, iar utilizatorii care le descarcă ajung să ruleze MODBEACON.
Tehnica gRPC – o premieră în malware
gRPC este un protocol modern de apeluri remote, dezvoltat de Google, care folosește HTTP/2 și serializarea Protobuf. În cazul MODBEACON, traficul C2 este ascuns în fluxuri gRPC criptate, ceea ce face detectarea mult mai dificilă pentru soluțiile de securitate clasice. Aceasta este o evoluție importantă față de RAT-urile tradiționale care folosesc protocoale mai ușor de identificat, precum HTTP simplu sau DNS tunneling.
Cine este Silver Fox?
Silver Fox este un grup de amenințare persistentă avansată (APT) activ de cel puțin câțiva ani, vizând preponderent țări vorbitoare de limbă chineză, dar și alte regiuni. Folosesc adesea tehnici de inginerie socială și de optimizare pentru motoarele de căutare pentru a atrage victime. În ciuda aparenței de „low-sophistication”, ei reușesc să mențină o rețea extinsă de infrastructură C2 și să actualizeze constant uneltele.
Ce înseamnă pentru tine
MODBEACON reprezintă un salt calitativ în stealth-ul malwear-ului, iar utilizatorii obișnuiți trebuie să fie mai prudenți ca niciodată. Iată câteva măsuri practice:
- Evită descărcarea de software din surse neverificate – chiar dacă site-ul arată profesional, verifică dacă este oficial.
- Folosește soluții EDR/AV actualizate – capabile să detecteze traficul gRPC neobișnuit.
- Monitorizează conexiunile de rețea – dacă rulează procese care fac streaming criptat către servere necunoscute, e un semnal de alarmă.