L'installateur frauduleux utilise DLL sideloading pour charger ValleyRAT dans QnWallpaper

Un installateur frauduleux qui intègre le trojan d'accès à distance ValleyRAT (également identifié comme Winos 4.0) a été détecté comme une version signée d'un programme de papier peint chinois, selon l'analyse partagée par Kaspersky. L'échantillon étudié abrupt une chaîne d'attaque qui profite d'une application légitime - papier peint QN - pour exécuter le code malveillant dans un processus signé, désactiver les protections et persister sur l'ordinateur, laissant la machine complètement contrôlée par l'opérateur de porte arrière.

Que s'est-il passé, techniquement ?. QnWallpaper.exe (l'application légitime) est disponible sous la forme d'une copie modifiée dans un dossier système. Lorsque l'exécutable signé charge votre bibliothèque dépendante, Windows résout et charge cette DLL locale dans le contexte du processus légitime: c'est la technique connue sous le nom de DLL sideloading. Avec DLL malveillant courant à l'intérieur d'un binaire signé, de nombreux signes de confiance en les protections peuvent être affaiblis. Avant que la partie publicitaire adware soit activée, l'installateur modifie l'enregistrement pour définir la touche DisableAntiSpyware (désactiver Microsoft Defender) et ajoute des entrées de démarrage automatiques. Si l'utilisateur n'a pas de privilèges élevés, l'installateur essaie de relancer en utilisant des runes pour obtenir des permis administratifs. En outre, la porte arrière peut marquer son processus comme critique, de sorte que toute terminaison précipitée provoque un écran bleu.

Quelles sont les compétences de ValleyRAT. Selon Kaspersky, ValleyRAT peut capturer des pulsations, flip clipboard contenu, prendre des captures d'écran et télécharger des modules supplémentaires, fournissant l'attaquant avec la télécommande complète sur la machine compromise. Ces comportements placent les logiciels malveillants comme une porte arrière multifonctions visant à exfilter les identifiants et les données sensibles.

Indicateurs et artefacts observés (faits confirmés). Kaspersky a publié plusieurs IoC extraits de l'échantillon analysé: MD5 hachages de fichiers (c24e99f9... de l'installateur; 07dbbe2... de la libcef malveillant.dll; 8a626d84... d'un autre composant), serveurs de commande et de contrôle en 103.45.66.18 (ports 441 / 442 / 443) et 192.25.225.173 (ports 6666 / 8888), et domaines utilisés dans la chaîne comme qnwallpaper [.] keansoft [.] cn et une ressource légitime de Teniculaire. Le parcours d'installation observé est également documenté: C:\ Program Files\ QNWallpaper\ 5.4.0.1662\ et la création de la clé DisableAntiSpyware comme preuve de tentatives de désactiver les défenses.

Attribution et portée (confirmées par rapport aux estimations). Kaspersky attribue cette variante au groupe connu comme Silver Fox basé sur la géographie de l'attaque, le choix de la charge utile et la technique d'abus d'applications légitimes - une tactique déjà observée dans les campagnes liées au groupe -. Cette attribution est l'avis technique du fournisseur et repose sur des similitudes avec des incidents antérieurs, mais, comme dans toute attribution publique, elle est une estimation motivée et non une certitude absolue. Le rapport est basé sur un seul installateur soumis par un client; Kaspersky n'associe pas directement cet installateur à un certain nombre de victimes dans cette campagne. Séparément, les données agrégées pour l'année montrent que Kaspersky a détecté plus de 100 000 détections liées à ValleyRAT en 2026, affectant plus de 1500 utilisateurs uniques, principalement en Chine et en Inde - ce chiffre correspond à toutes les activités de ValleyRAT en 2026 et non seulement à la route adware décrite dans ce cas.

Pourquoi cela compte et qui il affecte. La technique exploite la confiance dans les signatures légitimes et les logiciels apparemment inoffensifs (paquets de logiciels/partenaires). Il affecte les utilisateurs privés qui installent des programmes d'origine douteuse et les organisations qui autorisent des logiciels tiers sur des machines de travail ou qui maintiennent des exclusions sur leur antivirus. Étant donné que l'échantillon marque le processus comme étant un défenseur critique et désactif, l'assainissement peut nécessiter des procédures non communes (démarrage sûr, nettoyage hors ligne ou réinstallation), ce qui augmente le coût opérationnel et le risque d'exfiltration de l'information avant la détection.

Mesures spécifiques recommandées aux utilisateurs et aux gestionnaires. Sur la base du comportement observé, il s'agit de mesures pratiques et vérifiables:

- Pour les utilisateurs individuels: éviter d'installer un logiciel de réputation douteuse; ne jamais ajouter aux listes d'exclusions antivirus non vérifiées; vérifier la signature numérique d'un installateur avant de l'exécuter; et surveiller le dossier d'installation typique cité (par exemple C:\ Program Files\ QNWallpaper\) et la présence de fichiers libcef.dll inattendus.

- Pour les administrateurs de sécurité et l'équipement: bloquer et surveiller l'IoC fourni (hashes et adresses IP), restreindre l'installation de logiciels non approuvés par les politiques de liste blanche, et vérifier les paramètres de Microsoft Defender pour détecter les écritures dans la clé DisableAntiSpyware. Quelques vérifications utiles (PowerShell) seraient d'inspecter la clé de politique de défense: Get-ItemProperty -Path'HKLM:\ LOGICIEL\ Politiques\ Microsoft\ Windows Defender '-Name DisableAntiSpyware et liste des entrées auto-démarrage avec Autoruns ou Get-CimInstance Win32 _ StartupCommand. Il est également approprié de détecter les processus suspects qui chargent une libcef.dll à partir d'itinéraires non standard et corrélent les signatures numériques avec des certificats valides.

- Oui. Dans les réseaux d'entreprise: appliquer des contrôles d'exécution (AppLocker / WDAC), des postes de travail segmentés et limiter les privilèges locaux pour empêcher les élévations automatiques; déployer EDR avec la capacité de détecter le chargement latéral DLL et le comportement (création de clés d'enregistrement pertinentes, essayer de marquer les processus comme critiques). Conservez les listes de verrouillage C2 connues et mettez à jour les règles de détection avec les PI et les ports observés.

Ressources et lecture technique. La technique du chargement latéral DLL est documentée dans le cadre de MITRE ATT & CK: https: / / attack.mitre.org / techniques / T1574 / 002 /. Les options et les risques de désactivation de Microsoft Defender et de sa gestion sont expliqués dans la documentation de Microsoft: https: / / learn.microsoft.com /. Pour une analyse et un contexte plus précis sur les tactiques ValleyRAT et Silver Fox, il est approprié de consulter les publications techniques des fournisseurs spécialisés de sécurité.

Confirmé vs incertain. Confirmé: l'échantillon analysé utilise QnWallpaper signé pour charger une libcef malveillante.dll (DLL sideloading); l'installateur modifie DisableAntiSpyware et crée une persistance; les hachages et C2 cités ont été observés par Kaspersky. Cher / attribution: le lien avec Silver Fox est basé sur les modèles et le contexte, mais c'est une évaluation du chercheur. Incertain: le nombre réel de victimes touchées par cette route et s'il y a d'autres variantes actives en parallèle non détectées par Kaspersky dans cette découverte.

La leçon pratique est claire : les applications « sans danger » qui montrent des suppléments publicitaires ou d'installation peuvent être vecteurs d'attaques beaucoup plus graves lorsque les attaquants modifient des composants légitimes pour exécuter le code malveillant dans un contexte de confiance. Les processus d'installation aveuglants, en évitant les exclusions imprudentes dans les outils de sécurité et en surveillant les signes de chargement latéral, sont des étapes concrètes qui réduisent l'exposition à de telles campagnes.