Бэкдор ValleyRAT маскируют под подписанное китайское рекламное ПО
Злоумышленники используют изменённую версию QN Wallpaper: её подписанный исполняемый файл загружает вредоносную DLL. Kaspersky связывает кампанию с группировкой Silver Fox.
Специалисты Kaspersky обнаружили распространение бэкдора ValleyRAT под видом QN Wallpaper — китайской программы для установки обоев, которая в оригинальном виде относится к рекламному ПО. Вредоносная версия сохраняет подписанный исполняемый файл приложения, что помогает запустить бэкдор внутри процесса, которому защитные средства могут доверять.
Схема основана на подмене DLL. Установщик распаковывает модифицированную копию QN Wallpaper и запускает подписанный файл QnWallpaper.exe. Тот загружает расположенную в той же папке вредоносную библиотеку libcef.dll, после чего ValleyRAT начинает работать в контексте легитимного процесса.
До запуска рекламного компонента установщик пытается отключить Microsoft Defender через параметр реестра DisableAntiSpyware и добавляет программу в автозагрузку. Если текущий пользователь не обладает правами администратора, вредоносное ПО перезапускает себя через runas, чтобы получить их. ValleyRAT также умеет помечать свой процесс как критический: попытка завершить его в таком случае вызывает синий экран смерти Windows.
ValleyRAT, также известный как Winos 4.0, позволяет операторам полностью контролировать заражённый компьютер. По данным Kaspersky, бэкдор способен собирать нажатия клавиш и содержимое буфера обмена, делать снимки экрана и загружать дополнительные вредоносные модули.
Kaspersky считает Silver Fox вероятным организатором кампании, основываясь на её географии и используемой нагрузке. Впрочем, анализ этой конкретной цепочки заражения основан на одном установщике, полученном от клиента, поэтому компания не приводит число пострадавших именно от распространения через QN Wallpaper.
За 2026 год Kaspersky зафиксировала более 100 тыс. срабатываний, связанных с ValleyRAT и сопутствующим вредоносным ПО, у более чем 1,5 тыс. уникальных пользователей. Эти показатели относятся ко всей активности ValleyRAT за год, а не только к описанной кампании; большинство затронутых пользователей находилось в Китае и Индии.
Компания рекомендует не устанавливать ПО с сомнительной репутацией и не добавлять такие программы в исключения антивируса. Организациям советуют установить правила использования стороннего ПО на рабочих устройствах.