Campagna Spark RAT in Cambogia: BYOVD e lure localizzati per…

Un cluster di minaccia prende di mira la Cambogia con Spark RAT, abusando del driver OPSWAT AppRemover vulnerabile (CVE-2026-36425) per neutralizzare strumenti di

{"main_topic":"cybersecurity","topics":["cybersecurity","malware","cve","vulnerabilita","phishing"]}

Un cluster di minaccia non attribuito ha preso di mira individui e organizzazioni in Cambogia tra fine giugno e i primi di agosto 2026 con una catena di infezione multi-stadio che impiega Spark RAT. Secondo l'analisi dell'Acronis Threat Research Unit pubblicata il 26 agosto 2026, la campagna non si limita a eludere i controlli di sicurezza ma li disabilita attivamente abusando di un driver vulnerabile legittimo attraverso la tecnica Bring Your Own Vulnerable Driver (BYOVD).

Punti chiave

Il cluster prende di mira utenti cambogiani con esche altamente localizzate: avvisi governativi COVID-19, referti dentistici, documenti immobiliari e offerte promozionali.
La catena di infezione abusa del driver OPSWAT AppRemover ardrv.sys (CVE-2026-36425) tramite BYOVD per ottenere terminazione processo a livello kernel e disabilitare prodotti di sicurezza.
Il loader implementa check anti-sandbox basati sul timing, manipolazione token per degradare Huorong Internet Security e iniezione in vssvc.exe e ctfmon.exe per occultamento.
Il payload finale Spark RAT comunica con il server C2 sx[.]nuihuw[.]com sulla porta 443; l'attribuzione resta non confermata con possibili collegamenti di lingua cinese valutati a bassa confidenza.

Le esche cambogiane e il primo stadio di esecuzione

La campagna si distingue per l'adozione di lure strettamente calibrate sul contesto locale cambogiano. I file malevoli assumono nomi che richiamano avvisi governativi, materiali sanitari pubblici, referti dentistici, documenti immobiliari e offerte promozionali. Un esempio documentato dall'analisi Acronis è l'eseguibile 'Cambodian Government Notice on COVID-19 Prevention and Control (July 7).docx.exe', confezionato come installer Inno Setup all'interno di archivi compressi.

Questa scelta di targeting geografico non è accessorio. La localizzazione delle esche aumenta significativamente la probabilità di interazione da parte della vittima, superando il primo filtro di attenzione che tipicamente blocca messaggi generici o palesemente estranei al contesto operativo. L'uso di formati documentali familiari — apparenti file Word con estensione doppia — rappresenta una tecnica di ingegneria sociale collaudata ma qui riadattata con precisione sui contenuti istituzionali cambogiani.

Il meccanismo BYOVD: neutralizzazione kernel dei controlli di sicurezza

Il cuore tecnico della campagna risiede nell'abuso del driver vulnerabile OPSWAT AppRemover ardrv.sys, affetto dalla vulnerabilità CVE-2026-36425 con punteggio CVSS 3.1 di 6.5 (MEDIUM). Secondo i dettagli disponibili su cvefeed.io, il driver nelle versioni v2017.10.02.1551 e precedenti espone l'IOCTL handler 0x2420031, che permette a qualsiasi utente locale di inviare richieste di terminazione processo senza validazione dei privilegi.

L'approccio BYOVD — Bring Your Own Vulnerable Driver — consente all'attaccante di installare un driver firmato legittimo, già presente nel database dei driver attendibili di Windows, e di sfruttarne le vulnerabilità per eseguire codice in modalità kernel. Questo livello di esecuzione supera le protezioni degli strumenti di sicurezza in user space, che non possono intercettare né bloccare operazioni condotte dal kernel stesso. La campagna sfrutta questa capacità per disabilitare attivamente EDR e antivirus prima del deployment del payload finale.

"The vulnerable driver ardrv.sys, associated with OPSWAT AppRemover, is affected by the vulnerability tracked as CVE-2026-36425. The campaign abuses the vulnerable driver as part of its BYOVD technique to impair security protections." — Acronis Threat Research Unit

Anti-analisi e degradazione selettiva dei prodotti cinesi

Dopo l'esecuzione iniziale, il loader attiva una serie di meccanismi anti-analisi e anti-sandbox. Il primo è un check basato sul timing: il malware misura i ritardi di esecuzione per rilevare ambienti che manipolano o accorciano le chiamate sleep tipiche delle sandbox automatiche. Contemporaneamente, il loader verifica la presenza di processi relativi a specifici prodotti di sicurezza, con attenzione particolare per Huorong Internet Security (identificato tramite il processo HipsTray.exe).

Quando rileva Huorong, il loader esegue una routine di manipolazione token descritta internamente dalla stringa "huorong detected, blinding". L'operazione prevede l'accesso al token SYSTEM di winlogon.exe tramite OpenProcessToken, seguito dalla degradazione dei privilegi del prodotto di sicurezza. Questa focalizzazione su strumenti diffusi nel mercato asiatico, insieme a riferimenti a Tencent PC Manager e Qihoo 360, costituisce un elemento di competenza regionale che Acronis valuta come possibile indicatore di sviluppatori o deployment di lingua cinese, sebbene a bassa confidenza.

Il loader procede con decrittazione runtime di shellcode nascosto all'interno di file PNG, un'astuzia che sfrutta formati apparentemente innocui per trasportare payload cifrati. La shellcode decrittata viene iniettata in vssvc.exe (Volume Shadow Copy Service), un processo di sistema Windows, mentre per l'esecuzione finale di Spark RAT il malware seleziona ctfmon.exe (CTF Loader), anch'esso processo legittimo spesso trascurato dai controlli comportamentali.

Persistenza e modalità di esecuzione condizionale

Il payload verifica se è in esecuzione con privilegi SYSTEM, identificando la presenza del SID S-1-5-18 (NT AUTHORITY\SYSTEM). In base a questo controllo, seleziona tra due modalità operative: inject mode, con iniezione diretta del RAT, o setup mode, che precede l'esecuzione con l'installazione di meccanismi di persistenza.

In setup mode, secondo la ricostruzione di Hendry Adrian che corrobora l'analisi Acronis, il malware crea un servizio Windows e un task schedulato denominato 'TaskHandler' per garantire sopravvivenza a riavvii del sistema. La persistenza tramite task schedulati e servizi rappresenta una scelta conservativa ma efficace, che non richiede modifiche al registro di avvio visibili a strumenti di monitoraggio superficiali.

Spark RAT, payload finale della catena, è un RAT open-source cross-platform scritto in Go, rilasciato su GitHub nel 2022 e compatibile con Windows, macOS e Linux. La sua natura pubblicamente disponibile non implica minore pericolosità: l'adozione di strumenti open-source consente agli operatori di beneficiare di sviluppo continuo dalla community, personalizzando il codice per evitare rilevamento senza investire in sviluppo proprietario.

Cosa fare adesso

Verificare la presenza del driver ardrv.sys di OPSWAT AppRemover nelle versioni v2017.10.02.1551 e precedenti: la sostituzione con versioni aggiornate elimina il vettore BYOVD documentato.
Monitorare i processi vssvc.exe e ctfmon.exe per iniezioni anomale di codice, dato che entrambi sono utilizzati come veicolo di occultamento nella catena documentata.
Rilevare la creazione di servizi e task schedulati con nome 'TaskHandler', indicatore di persistenza associato alla campagna.
Esaminare il traffico verso il dominio sx[.]nuihuw[.]com sulla porta 443, server C2 identificato per la comunicazione Spark RAT.

Attribuzione e limiti del dossier

Acronis TRU segnala similarità operative con attività associata a SilverFox, ma esplicitamente chiarisce che non sono emersi infrastrutture condivise, riutilizzo di codice né altri collegamenti specifici all'attore. Il cluster viene quindi tracciato come non attribuito, con possibili collegamenti a sviluppatori o deployment di lingua cinese valutati a bassa confidenza. Non emergono sovrapposizioni infrastrutturali che colleghino questo cluster a campagne diverse come UAT-10147 documentata da Talos, che impiega payload BadIIS, QuasarRAT e SPECTRE.

Il dossier presenta inoltre limiti significativi: il vettore di consegna esatto dell'email di phishing non è stato osservato direttamente da Acronis, lo scope completo della campagna resta indeterminato per numero di vittime ed entità specifiche compromesse, e non è possibile confermare se l'operazione sia ancora in corso. Non risultano altri payload oltre a SparkRAT nella stessa campagna.

La campagna offre una lettura più ampia sullo stato della minaccia in contesti regionali spesso sottorappresentati. La combinazione di lure localizzati, BYOVD con driver vulnerabili noti, e tecniche di degradazione selettiva di prodotti di sicurezza specifici del mercato asiatico indica operatori che conoscono il terreno operativo e dispongono delle risorse per adattare la toolchain ai target. Per le organizzazioni con presenza in Cambogia o interazione con entità governative e aziendali cambogiane, il rischio non è teorico: la localizzazione delle esche e la capacità di disabilitare preventivamente i controlli di sicurezza elevano la soglia di attenzione richiesta.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter