Instalador fraudulento usa DLL sideloading para cargar ValleyRAT en QnWallpaper

Un instalador fraudulento que incorpora el troyano de acceso remoto ValleyRAT (también identificado como Winos 4.0) ha sido detectado disfrazado como una versión firmada de un programa chino de fondos de pantalla, según el análisis compartido por Kaspersky. La muestra estudiada abrevia una cadena de ataque que aprovecha una aplicación legítima —QN Wallpaper— para ejecutar código malicioso dentro de un proceso firmado, desactivar protecciones y persistir en el equipo, lo que deja a la máquina completamente controlada por el operador del backdoor.

Qué sucedió, técnicamente. El instalador entrega una copia modificada de QnWallpaper.exe (la aplicación legítima) en una carpeta del sistema y coloca en la misma ruta una biblioteca maliciosa llamada libcef.dll. Cuando el ejecutable firmado carga su biblioteca dependiente, Windows resuelve y carga esa DLL local en el contexto del proceso legítimo: es la técnica conocida como DLL sideloading. Con la DLL maliciosa ejecutándose dentro de un binario firmado, muchas señales de confianza en las protecciones pueden verse debilitadas. Antes de que la parte publicitaria del adware se active, el instalador modifica el registro para establecer la clave DisableAntiSpyware (deshabilitando Microsoft Defender) y añade entradas de inicio automático. Si el usuario no dispone de privilegios elevados, el instalador intenta relanzarse usando runas para obtener permisos administrativos. Además, el backdoor puede marcar su proceso como crítico, de modo que cualquier terminación precipitada provoca una pantalla azul.

Qué capacidades tiene ValleyRAT. Según Kaspersky, ValleyRAT puede capturar pulsaciones, volcar contenido del portapapeles, tomar capturas de pantalla y descargar módulos adicionales, entregando al atacante control remoto completo sobre la máquina comprometida. Estos comportamientos sitúan al malware como una puerta trasera multifunción orientada a exfiltrar credenciales y datos sensibles.

Indicadores y artefactos observados (hechos confirmados). Kaspersky publicó varios IoC extraídos de la muestra analizada: hashes MD5 de archivos (c24e99f9... del instalador; 07ddbbe2... de la libcef.dll maliciosa; 8a626d84... de otro componente), servidores de comando y control en 103.45.66.18 (puertos 441/442/443) y 192.253.225.173 (puertos 6666/8888), y dominios usados en la cadena como qnwallpaper[.]keansoft[.]cn y un recurso legítimo de Tencent utilizado como señuelo. También se documenta la ruta de instalación observada: C:\Program Files\QNWallpaper\5.4.0.1662\ y la creación de la clave DisableAntiSpyware como evidencia de intentos de desactivar defensas.

Atribución y alcance (confirmado vs. estimado). Kaspersky atribuye esta variante a la agrupación conocida como Silver Fox basándose en la geografía del ataque, la elección de payload y la técnica de abuso de aplicaciones legítimas —una táctica ya observada previamente en campañas relacionadas con el grupo—. Esta atribución es la opinión técnica del proveedor y está fundamentada en similitudes con incidentes anteriores, pero, como en cualquier atribución pública, constituye una estimación razonada y no una certeza absoluta. El informe se basa en un único instalador remitido por un cliente; Kaspersky no asocia directamente ese instalador a un número concreto de víctimas en esta campaña. Separadamente, los datos agregados del año muestran que Kaspersky detectó más de 100.000 detecciones relacionadas con ValleyRAT en 2026, afectando a más de 1.500 usuarios únicos, principalmente en China e India —esa cifra corresponde a toda la actividad de ValleyRAT en 2026 y no sólo a la ruta del adware descrita en este caso.

Por qué esto importa y a quién afecta. La técnica explota la confianza en firmas legítimas y en software aparentemente inofensivo (adware/partner bundles). Afecta tanto a usuarios particulares que instalan programas de dudosa procedencia como a organizaciones que permitan software de terceros en máquinas de trabajo o que mantengan exclusiones en sus antivirus. Dado que la muestra marca el proceso como crítico y desactiva Defender, la remediación puede exigir procedimientos fuera de lo común (arrancar en modo seguro, limpieza offline o reinstalación), lo que eleva el coste operativo y el riesgo de exfiltración de información antes de la detección.

Medidas concretas recomendadas para usuarios y administradores. En base a los comportamientos observados, estas son acciones prácticas y comprobables:

- Para usuarios individuales: evitar instalar software de reputación dudosa; nunca añadir a las listas de exclusiones de antivirus aplicaciones que no estén verificadas; comprobar la firma digital de un instalador antes de ejecutarlo; y vigilar la carpeta de instalación típica citada (p. ej. C:\Program Files\QNWallpaper\) y la presencia de archivos libcef.dll no esperados.

- Para administradores y equipos de seguridad: bloquear y monitorizar las IoC provistas (hashes y direcciones IP), restringir la instalación de software no aprobado mediante políticas de lista blanca, y auditar las configuraciones de Microsoft Defender para detectar escrituras en la clave DisableAntiSpyware. Un par de comprobaciones útiles (PowerShell) serían inspeccionar la clave de políticas de Defender: Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender' -Name DisableAntiSpyware y listar entradas de autoarranque con Autoruns o Get-CimInstance Win32_StartupCommand. También conviene detectar procesos sospechosos que carguen una libcef.dll desde rutas no estándar y correlacionar firmas digitales con certificados válidos.

- En redes corporativas: aplicar controles de ejecución (AppLocker/WDAC), segmentar estaciones de trabajo y limitar privilegios locales para impedir elevaciones automáticas; desplegar EDR con capacidad de detección de DLL sideloading y de comportamiento (creación de claves de registro relevantes, intento de marcar procesos como críticos). Mantener listas de bloqueo de C2 conocidas y actualizar reglas de detección con las IPs y puertos observados.

Recursos y lectura técnica. La técnica de DLL sideloading está documentada en el marco MITRE ATT&CK: https://attack.mitre.org/techniques/T1574/002/. Las opciones y riesgos de desactivar Microsoft Defender y su gestión se explican en la documentación de Microsoft: https://learn.microsoft.com/. Para análisis y contexto más específico sobre ValleyRAT y tácticas de Silver Fox conviene consultar las publicaciones técnicas de proveedores de seguridad especializados.

Confirmado vs. incierto. Confirmado: la muestra analizada usa QnWallpaper firmado para cargar una libcef.dll maliciosa (DLL sideloading); el instalador modifica DisableAntiSpyware y crea persistencia; los hashes y C2 citados fueron observados por Kaspersky. Estimado/atribución: la vinculación con Silver Fox se apoya en patrones y contexto, pero es una evaluación del investigador. Incierto: el número real de víctimas afectadas por esta vía y si existen variantes adicionales activas en paralelo no detectadas por Kaspersky en este hallazgo puntual.

La lección práctica es clara: las aplicaciones “inofensivas” que muestran publicidad o instalan complementos pueden ser vectores de ataques mucho más serios cuando los atacantes modifican componentes legítimos para ejecutar código malicioso en un contexto de confianza. Blindar procesos de instalación, evitar exclusiones temerarias en herramientas de seguridad y monitorizar signos de sideloading son pasos concretos que reducen la exposición a este tipo de campañas.