Silver Fox distribuisce installer falsi che bloccano Windows Update e

Il 1° settembre 2026 Microsoft ha pubblicato un'analisi tecnica dettagliata su una campagna malware attiva che colpisce operazioni in Cina di multinazionali e utenti di lingua cinese. Il cluster threat Silver Fox, noto anche come Yinhu (银狐), utilizza siti web contraffatti con fedeltà pixel-perfect di software popolari per distribuire installer malevoli che, una volta eseguiti, disabilitano Windows Update, indeboliscono Microsoft Defender tramite esclusioni PowerShell, cancellano le copie shadow dei volumi e modificano le ACL delle directory per impedire la rimozione. La catena di anti-forensics è progettata per rendere la macchina compromessa irrecuperabile senza intervento tecnico diretto.

La deceptions fidelity dei siti clone: quando il phishing supera la qualità del brand originale

I domini spoofed identificati da Microsoft impersonano marchi riconosciuti: pc-razerzone[.]com[.]cn, app-microsoft-edge[.]com[.]cn, kaspersky-lab[.]hl[.]cn, translate-youdao[.]hl[.]cn, zh-diskgenius[.]com[.]cn, baidu-pan[.]com[.]cn, ocam-pc[.]com[.]cn, steelseries-cn[.]com[.]cn, mindmoster[.]com[.]cn. L'uso di TLD .com.cn e .hl.cn, combinato con contenuti lure in cinese, crea un contesto di apparente legittimità locale che riduce la vigilanza dell'utente.

La generazione server-side del payload rappresenta un salto qualitativo rispetto alle campagne precedenti. Microsoft ha osservato che archivi con identico nome (app_setup.6653004.zip) presentano hash diverso in download successivi a 69 secondi di distanza, con URL di delivery costante. Questo meccanismo rende inutile il rilevamento basato su hash SHA-256 statici, uno dei pilastri tradizionali delle difese perimetrali. La randomizzazione interessa anche i percorsi di esecuzione: il payload stage-one viene depositato in directory come C:\Users\Public\[random]\[random].exe.

La catena di compromissione: da msiexec.exe alle esclusioni Defender via SYSTEM

La catena di esecuzione utilizza due vettori principali. Il primo passa attraverso un installer wrapper che materializza il payload stage-one in percorsi randomizzati. Il secondo, osservato successivamente, sfrutta msiexec.exe — il servizio Windows Installer legittimo — per lanciare eseguibili con nomi generati dinamicamente, sfruttando la trust inheritance di un processo firmato Microsoft per eludere i controlli di esecuzione.

La persistenza è ottenuta tramite scheduled task che imitano job IT o di produttività, un pattern di masquerade che riduce la probabilità di rilevamento comportamentale basato su anomalie di naming. Una volta stabilita la persistenza, il malware eleva i privilegi a SYSTEM e crea una scheduled task dedicata alla configurazione di esclusioni Microsoft Defender via PowerShell. Questo meccanismo non disabilita Defender nella sua interezza, ma ne annulla selettivamente la visibilità sui percorsi e i processi della catena di infezione.

Parallelamente, il malware cancella le volume shadow copies — eliminando la possibilità di recovery rapida — e modifica le DACL delle directory payload con icacls per impedire la rimozione da parte di utenti standard. L'hardening delle ACL, combinato con l'arresto dei servizi Windows Update, trasforma la macchina in un endpoint cieco e muto: non riceve patch, non mantiene punti di ripristino, non consente interventi automatici di remediation.

Il payload finale: ValleyRAT e l'infrastruttura C2 su porte non standard

La fase post-compromissione consegna ValleyRAT, un trojan di accesso remoto con funzionalità documentate di cattura keystroke e clipboard, scansione delle finestre attive di applicazioni di analisi, raccolta di informazioni di sistema, screenshot, cancellazione di log, aggiornamento dinamico degli indirizzi C2 e download di moduli aggiuntivi. Kaspersky ha dettagliato un caso specifico in cui un installer malevolo distribuiva QN Wallpaper, un tool cinese genuino modificato, per innescare una catena di DLL sideloading che portava a ValleyRAT.

L'infrastruttura di comando e controllo si distingue per l'uso di undici porte non standard: 5090, 7031, 7032, 7088, 7089, 7090, 8050, 28290 e 28300. I due domini C2 identificati sono iualef[.]net e oijfwe[.]net. La frammentazione su molteplici porte e la possibilità di aggiornamento dinamico degli indirizzi, documentata come capacità di ValleyRAT, complicano il blocco perimetrale basato su firewall e proxy.

"Microsoft has assessed with moderate confidence that this activity is consistent with the publicly reported Silver Fox (also known as Yinhu, 银狐) fake software campaign but has not attributed it to a nation-state actor" — Microsoft Security Blog

Il rischio per le aziende: sette settori compromessi e una finestra di esposizione prolungata

Secondo Microsoft, le vittime confermate si distribuiscono su sette settori: healthcare, manufacturing, gaming, technology, logistics, government e education. La campagna ha colpito principalmente operazioni in Cina di multinazionali e utenti di lingua cinese, anche se la struttura tecnica della minaccia non ne limita geograficamente l'applicabilità.

L'impatto aziendale travalica la singola compromissione endpoint. La disabilitazione di Windows Update crea una finestra di esposizione indefinita: anche se il payload iniziale viene contenuto, la macchina rimane vulnerabile a patch successive. L'indebolimento selettivo di Defender, combinato con la cancellazione delle shadow copies e il hardening delle ACL, erode i presupposti stessi della difesa automatizzata. Microsoft ha dichiarato che Defender ha attivato procedure di contenimento automatizzate tramite attack disruption, ma non ha determinato l'obiettivo finale della campagna.

Cosa fare adesso

Microsoft ha reso pubblici indicatori di compromissione specifici, inclusi hash SHA-256 stabili per il payload stage-one (676a2a7b94ca…) e il payload stage-two (6d6ba2bc9ad4…), quest'ultimo mascherato con metadata 'Speech Processing Solutions GmbH' / 'Philips Speech Driver Client Configuration'. La detection deve spostarsi da hash statici ad analisi comportamentale: parent-child process tree anomali (msiexec.exe che genera eseguibili randomizzati), pattern di scheduled task mimetiche, e modifiche ai servizi wuauserv e WaaSMedicSvc.

Le autorità cinesi hanno agito contro casi di cybercrimine legati a una nuova variante del trojan Silver Fox nel giugno 2026; Microsoft non ha stabilito se questa azione sia direttamente correlata alla campagna in esame o a varianti parallele. Il dossier non specifica il numero totale di vittime o organizzazioni compromesse, né la durata precisa della campagna dal primo indicatore.

Il dato più significativo per i difensori resta la dimostrazione che la deception fidelity ha raggiunto un livello in cui la verifica visiva del sito non è più sufficiente. La generazione dinamica server-side, la randomizzazione dei percorsi e l'uso di processi legittimi come msiexec.exe costituiscono un profilo di minaccia che richiede detection basata su comportamento, non su firme. La catena di anti-forensics — update kill, backup kill, defender blind, persistenza hardened — indica una maturazione delle tattiche di Silver Fox che riduce drasticamente il margine di errore per le difese endpoint.

Fonti

• https://thehackernews.com/2026/09/fake-software-installers-disable.html
• https://research.checkpoint.com/2026/gaming-the-system-how-a-chinese-speaking-actor-turned-brazilian-government-sites-into-an-seo-weapon/
• https://research.checkpoint.com/2026/btr-reforged-weaponizing-defenders-remediation-driver-as-a-kernel-operation-primitive/
• https://www.microsoft.com/en-us/security/blog/2026/09/01/counterfeit-installers-system-compromise-tracking-deceptive-software-download-campaign/
• https://www.guardianmssp.com/2026/09/02/fake-software-installers-disable-windows-update-and-weaken-microsoft-defender/
• https://cybersecuritynews.com/palo-alto-networks-acquires-console/amp/
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability
• https://thehackernews.com/search/label/Cyber%20Attack

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti