Spark RAT атакует пользователей в Камбодже через уязвимый драйвер OPSWAT
В кампании применяют технику BYOVD: вредоносная программа загружает легитимный, но уязвимый драйвер, чтобы повысить привилегии и отключить защитные средства. Исследователи Acronis не исключают связь с экосистемой Silver Fox, однако считают такую атрибуцию недостаточно подтверждённой.
Исследователи Acronis Threat Research Unit обнаружили кампанию против пользователей и организаций в Камбодже, в которой распространяется Spark RAT — кроссплатформенный троян удалённого доступа с открытым исходным кодом, написанный на Go. Злоумышленники используют уязвимый драйвер ardrv.sys, связанный с OPSWAT AppRemover, для повышения привилегий и остановки защитных программ.
В Acronis зафиксировали вредоносные артефакты с конца июня до начала августа 2026 года. Неизвестно, продолжается ли кампания. Для рассылки, предположительно, используются фишинговые письма с архивами, содержащими установщик Inno Setup. Приманками служат документы, похожие на уведомления камбоджийских ведомств, материалы о здравоохранении, стоматологические записи, документы о недвижимости и рекламные предложения.
После запуска установщик использует DLL sideloading через подписанный исполняемый файл Tencent. Далее загрузчик разворачивает уязвимый драйвер и Spark RAT. Он также проверяет, не выполняется ли программа в песочнице, и ищет процесс HipsTray.exe, относящийся к Huorong Internet Security; при его обнаружении вредоносное ПО пытается ослабить защитный продукт.
Полезная нагрузка скрыта в PNG-файлах внутри архива. В зависимости от уровня привилегий она либо сначала закрепляется в системе, либо сразу переходит к внедрению кода в процесс vssvc.exe. Вредоносная программа следит за этим процессом и повторно внедряет код при его перезапуске. На других этапах она пытается изменить механизмы AMSI и ETW, создаёт задания планировщика и службы Windows для закрепления, а также внедряет код в ctfmon.exe, откуда запускается Spark RAT.
Драйвер ardrv.sys уязвим к CVE-2026-36425. Как отмечают исследователи, его используют для завершения процессов Microsoft Defender, Huorong Internet Security и Tencent PC Manager. Дополнительный компонент пытается завершать заранее заданные процессы защитных продуктов в пользовательском режиме.
В Acronis нашли сходства с известными операциями Silver Fox: среди них пересечение целей, DLL sideloading через подписанное приложение, многоступенчатая доставка нагрузки, закрепление через службы и задачи планировщика, а также работа с исключениями Microsoft Defender. Однако исследователи не стали приписывать кампанию этой группе: они не обнаружили общей инфраструктуры, совпадающего кода на уровне функций или одинаковых сертификатов. Активность отслеживается как неатрибутированный кластер с возможными связями с китайскоязычной средой разработки или применения; эта оценка имеет низкую степень уверенности.