Fraudulent installer verwendet DLL Sideload, um ValleyRAT in QnWallpaper zu laden

Ein betrügerischer Installateur, der den ValleyRAT Remote Access Trojaner (auch als Winos 4.0 bezeichnet) enthält, wurde nach der von Kaspersky geteilten Analyse als signierte Version eines chinesischen Tapetenprogramms erkannt. Die untersuchte Probe bricht eine Kette von Angriffen aus, die eine legitime Anwendung - QN Wallpaper - böswilligen Code innerhalb eines signierten Prozesses zu führen, Schutz zu deaktivieren und auf dem Computer zu bestehen, so dass die Maschine vollständig vom Backdoor-Betreiber kontrolliert.

Was ist eigentlich passiert?. Der Installer liefert eine geänderte Kopie von QnWallpaper.exe (die legitime Anwendung) in einem Systemordner und stellt eine bösartige Bibliothek namens libcef.dll auf der gleichen Route. Wenn die signierte ausführbare geladen Ihre abhängige Bibliothek, Windows löst und lädt, dass lokale DLL im Kontext des legitimen Prozesses: es ist die Technik als DLL Sideloading bekannt. Mit schädlicher DLL, die innerhalb einer signierten binären laufen, können viele Anzeichen von Vertrauen in Schutz geschwächt werden. Bevor das Adware-Werbungsteil aktiviert wird, ändert der Installer den Datensatz, um den DisableAntiSpyware-Schlüssel (Deaktivierung von Microsoft Defender) einzustellen und automatische Start-up-Eingänge hinzuzufügen. Wenn der Benutzer keine hohen Privilegien hat, versucht der Installateur mit Runen neu zu starten, um administrative Genehmigungen zu erhalten. Darüber hinaus kann die Hintertür ihren Prozess als kritisch markieren, so dass jede hastige Beendigung einen blauen Bildschirm verursacht.

Welche Fähigkeiten hat ValleyRAT. Laut Kaspersky kann ValleyRAT Pulsationen, Flip-Clipboard-Inhalte erfassen, Screenshots und zusätzliche Module herunterladen und den Angreifer mit vollständiger Fernbedienung über die kompromittierte Maschine liefern. Diese Verhaltensweisen platzieren Malware als Multifunktions-Hintertür zur Exfilterung sensibler Anmeldeinformationen und Daten.

beobachtete Indikatoren und Artefakte (bestätigte Fakten). Kaspersky veröffentlichte mehrere IoC extrahiert aus der analysierten Probe: MD5 Hashes von Dateien (c24e99f9... des Installers; 07dbbe2... der schädlichen libcef.dll; 8a626d84... einer anderen Komponente), Befehls- und Kontrollserver in 103.45.66.18 (ports 441 / 442 / 443) und 192.253.225.173 (ports Die beobachtete Installationsroute wird auch dokumentiert: C:\Programme\ QNWallpaper\ 5.4.0.1662\ und die Erstellung des DisableAntiSpyware-Schlüssels als Beweis für Versuche, Abwehrmaßnahmen zu deaktivieren.

Beitrag und Umfang (bereinigt vs. geschätzt). Kaspersky gibt diese Variante der Gruppe, die als Silver Fox bekannt ist, basierend auf der Geographie des Angriffs, der Wahl der Nutzlast und der Methode des Missbrauchs von legitimen Anwendungen - eine Taktik, die bereits zuvor in Kampagnen im Zusammenhang mit der Gruppe beobachtet wurde -. Diese Zuschreibung ist die technische Stellungnahme des Lieferanten und basiert auf Ähnlichkeiten mit früheren Vorfällen, aber, wie in jeder öffentlichen Zuschreibung, ist es eine begründete Schätzung und nicht eine absolute Sicherheit. Der Bericht basiert auf einem einzigen Installer, der von einem Client eingereicht wird; Kaspersky assoziiert diesen Installer nicht direkt an eine bestimmte Anzahl von Opfern in dieser Kampagne. Getrennte Gesamtdaten für das Jahr zeigen, dass Kaspersky im Jahr 2026 mehr als 100.000 ValleyRAT-bezogene Erkennungen entdeckte, die mehr als 1.500 einzigartige Benutzer betreffen, vor allem in China und Indien - diese Zahl entspricht allen ValleyRAT-Aktivitäten im Jahr 2026 und nicht nur der in diesem Fall beschriebenen Adware-Route.

Warum das zählt und wer es betrifft. Die Technik nutzt Vertrauen in legitime Signaturen und anscheinend harmlose Software (Adware / Partnerbündel). Es betrifft sowohl private Benutzer, die Programme von zweifelhaften Ursprung und Organisationen installieren, die Software von Drittanbietern auf Arbeitsmaschinen erlauben oder Ausschlüsse auf ihrem Antivirus halten. Da die Probe den Prozess als kritischer und deaktiver Defender markiert, kann die Abhilfe außergewöhnliche Verfahren (Safe Start, Offline-Reinigung oder Neuinstallation) erfordern, was die Betriebskosten und das Risiko einer Exfiltration von Informationen vor der Erkennung erhöht.

Spezifische Maßnahmen für Anwender und Manager. Auf der Grundlage des beobachteten Verhaltens handelt es sich um praktische und überprüfbare Maßnahmen:

- Für einzelne Benutzer: vermeiden Sie die Installation von zweifelhaften Rufsoftware; nie hinzufügen Sie die nicht geprüften Antivirenausschlüsse Listen; überprüfen Sie die digitale Signatur eines Installers, bevor es ausgeführt wird; und überwachen Sie den typischen Installationsordner zitiert (z.B. C:\ Program Files\ QNWallpaper\) und die Anwesenheit von unerwarteten libcef.dll Dateien.

- Für Sicherheitsadministratoren und Geräte: Blockieren und überwachen Sie die bereitgestellte IoC (Hashes und IP-Adressen), beschränken Sie die Installation von nicht genehmigten Software durch White-Liste Richtlinien und überprüfen Sie Microsoft Defender-Einstellungen, um Skripte in der DisableAntiSpyware-Taste zu erkennen. Ein paar nützliche Überprüfungen (PowerShell) wären die Überprüfung der Verteidigungspolitik Schlüssel: Get-ItemProperty -Path'HKLM:\ SOFTWARE\ Richtlinien\ Microsoft\ Windows Defender '-Name DisableAntiSpyware and list self-boot-Eingänge mit Autoruns oder Get-CimInstance Win32 _ StartupCommand. Es ist auch angebracht, verdächtige Prozesse zu erkennen, die eine libcef.dll aus nicht-Standard-Routen laden und digitale Signaturen mit gültigen Zertifikaten korrelieren.

- Ja. In Unternehmensnetzwerken: Anwendung von Ausführungssteuerungen (AppLocker / WDAC), Segment-Workstations und begrenzen lokale Privilegien, um automatische Erhebungen zu verhindern; Bereitstellung von EDR mit der Fähigkeit, DLL Sideloading und Verhalten (Erstellung relevanter Registrierungsschlüssel, Versuch, Prozesse als Kritiker zu markieren). Behalten Sie bekannte C2 Sperrlisten und aktualisieren Sie Erkennungsregeln mit beobachteten PIs und Ports.

Ressourcen und technisches Lesen. Die Technik von DLL Sideloading wird im Rahmen von MITRE ATT & CK dokumentiert: https: / / attack.mitre.org / Techniken / T1574 / 002 /. Die Optionen und Risiken der Deaktivierung von Microsoft Defender und dessen Management werden in Microsoft-Dokumentation erklärt: https: / / learn.microsoft.com /. Für eine genauere Analyse und einen Kontext zu ValleyRAT und Silver Fox Taktik ist es angebracht, die technischen Veröffentlichungen von spezialisierten Sicherheitsanbietern zu konsultieren.

bestätigt vs. unsicher. Bestätigt: die analysierte Probe verwendet QnWallpaper, um eine schädliche libcef.dll (DLL Sideloading); der Installer modifiziert DisableAntiSpyware und erzeugt Beharrlichkeit; die genannten Hashes und C2 wurden von Kaspersky beobachtet. Liebe / Zuschreibung: Die Verbindung mit Silver Fox basiert auf Mustern und Kontext, aber es ist eine Bewertung des Forschers. Unsicher: die tatsächliche Anzahl von Opfern, die von dieser Strecke betroffen sind, und wenn es zusätzliche parallel aktive Varianten gibt, die von Kaspersky bei dieser Ortsfindung nicht erkannt werden.

Die praktische Lektion ist klar: "harmless" Anwendungen, die Werbung zeigen oder Installation Ergänzungen können Vektoren von viel ernster Angriffe sein, wenn Angreifer legitime Komponenten modifizieren, um bösartigen Code in einem Kontext des Vertrauens auszuführen. Blinding-Installationsprozesse, die Vermeidung von rücksichtslosen Ausschlüssen in Sicherheitswerkzeugen und die Überwachung von Seitenlasten sind konkrete Schritte, die die Exposition gegenüber solchen Kampagnen reduzieren.