Instalador fraudulento usa DLL sideloading para carregar ValleyRAT em QnWallpaper

Um instalador fraudulento que incorpora o troiano de acesso remoto ValleyRAT (também identificado como Winos 4.0) foi detectado disfarçado como uma versão assinada de um programa chinês de fundos de tela, segundo a análise compartilhada pela Kaspersky. A amostra estudada abrevia uma cadeia de ataque que aproveita uma aplicação legítima - QN Wallpaper - para executar código malicioso dentro de um processo assinado, desativar proteções e persistir na equipe, o que deixa a máquina completamente controlada pelo operador do backdoor.

O que aconteceu, tecnicamente. O instalador entrega uma cópia modificada do QnWallpaper.exe (a aplicação legítima) numa pasta do sistema e coloca na mesma rota uma biblioteca maliciosa chamada libcef.dll. Quando o executável assinado carrega sua biblioteca dependente, o Windows resolve e carrega essa DLL local no contexto do processo legítimo: é a técnica conhecida como DLL sideloading. Com o DLL maliciosa executando-se dentro de um binário assinado, muitos sinais de confiança nas protecções podem ser enfraquecidos. Antes de a parte publicitária do adware ser ativada, o instalador modifica o registro para estabelecer a chave DisableAntiSpyware (deshabilitando Microsoft Defender) e adiciona entradas de início automático. Se o usuário não tiver privilégios elevados, o instalador tenta se relançar usando runas para obter permissões administrativas. Além disso, o backdoor pode marcar seu processo como crítico, de modo que qualquer terminação precipitada provoca um ecrã azul.

Que capacidades tem ValleyRAT. De acordo com a Kaspersky, o ValleyRAT pode capturar pulsações, transferir conteúdo da área de transferência, tirar capturas de tela e baixar módulos adicionais, entregando ao atacante controle remoto completo sobre a máquina comprometida. Esses comportamentos colocam o malware como uma porta traseira multifunção orientada para exfiltrar credenciais e dados sensíveis.

Indicadores e artefatos observados (fatos confirmados). Kaspersky publicou vários IoC extraídos da amostra analisada: hashes MD5 de arquivos (c24e99f9... do instalador; 07ddbbe2... da libcef.dll maliciosa; 8a626d84... de outro componente), servidores de comando e controle em 103.45.66.18 (portos 441/442/443) e 192.253.225.173 (portos 6666/8888), e domínios usados na cadeia como qnwallpaper[.]keansoft[.]cn e um recurso legítimo de Tencent utilizado como señuelo. Também se documenta a localização de instalação observada: C:\Program Files\QNWallpaper\5.4.0.1662\ e a criação da chave DisableAntiSpyware como evidência de tentativas de desativar defesas.

Atribução e alcance (confirmado vs. estimado). Kaspersky atribui esta variante ao agrupamento conhecido como Silver Fox com base na geografia do ataque, a escolha de payload e a técnica de abuso de aplicativos legítimos - uma tática já observada previamente em campanhas relacionadas ao grupo. Esta atribuição é a opinião técnica do fornecedor e está fundamentada em semelhanças com incidentes anteriores, mas, como em qualquer atribuição pública, constitui uma estimativa fundamentada e não uma certeza absoluta. O relatório baseia-se num único instalador enviado por um cliente; o Kaspersky não associa directamente esse instalador a um número específico de vítimas nesta campanha. Separadamente, os dados agregados do ano mostram que a Kaspersky detectou mais de 100.000 detecções relacionadas com o ValleyRAT em 2026, afetando mais de 1.500 usuários únicos, principalmente na China e na Índia — esse número corresponde a toda a atividade do ValleyRAT em 2026 e não apenas à rota do adware descrita neste caso.

Por que isso importa e quem afeta. A técnica explora a confiança em assinaturas legítimas e em software aparentemente inofensivo (adware/partner bundles). Afecta tanto usuários particulares que instalam programas de dudosa procedência como organizações que permitam software de terceiros em máquinas de trabalho ou que mantenham exclusões em seus antivírus. Dado que a amostra marca o processo como crítico e desativado Defender, a remediação pode exigir procedimentos fora do comum (arrancar em modo seguro, limpeza offline ou reinstalação), o que eleva o custo operacional e o risco de exfiltração de informação antes da detecção.

Medidas concretas recomendadas para usuários e administradores. Com base nos comportamentos observados, essas são ações práticas e comprovavelmente:

- Para usuários individuais: evitar instalar software de reputação duvidosa; nunca adicionar às listas de exclusões de antivírus aplicações que não estejam verificadas; verificar a assinatura digital de um instalador antes de o executar; e monitorar a pasta de instalação típica citada (p. ex. C:\Program Files\QNWallpaper\) e a presença de arquivos libcef.dll não esperados.

- Para administradores e equipamentos de segurança: bloquear e monitorar as IoC fornecidas (hashes e endereços IP), restringir a instalação de software não aprovado por políticas de lista branca, e auditar as configurações da Microsoft Defender para detectar escrituras na chave DisableAntiSpyware. Um par de verificações úteis (PowerShell) seriam inspeccionar a chave de políticas de Defender: Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\ Microsoft\Windows Defender' -Name DisableAntiSpyware e listar entradas de autoarranque com Autoruns ou Get-CimInstance Win32_StartupCommand. Também é conveniente detectar processos suspeitos que carregam uma libcef.dll de rotas não- padrão e correlacionar assinaturas digitais com certificados válidos.

- Em redes corporativas: aplicar controles de execução (AppLocker/WDAC), segmentar estações de trabalho e limitar privilégios locais para impedir elevações automáticas; implantar EDR com capacidade de detecção de DLL sideloading e de comportamento (creação de chaves de registro relevantes, tentativa de marcar processos como críticos). Manter listas de bloqueio de C2 conhecidas e atualizar regras de detecção com os IPs e portos observados.

Recursos e leitura técnica. A técnica de DLL sideloading está documentada no marco MITRE ATT&CK: https://attack.mitre.org/techniques/T1574/002/. As opções e riscos de desativar a Microsoft Defender e sua gestão explicam-se na documentação da Microsoft: https://learn.microsoft.com/. Para análise e contexto mais específico sobre ValleyRAT e táticas de Silver Fox convém consultar as publicações técnicas de provedores de segurança especializados.

Confirmado vs. incerto. Confirmado: a amostra analisada usa o QnWallpaper assinado para carregar uma libcef.dll maliciosa (DLL sideloading); o instalador modifica o DisableAntiSpyware e cria persistência; os hashes e C2 citados foram observados pela Kaspersky. Estimado/atribução: a vinculação com Silver Fox apoia-se em padrões e contexto, mas é uma avaliação do pesquisador. Incerto: o número real de vítimas afetadas por esta via e se existem variantes adicionais ativas em paralelo não detectadas pela Kaspersky neste achado pontual.

A lição prática é clara: as aplicações “inofensivas” que mostram publicidade ou instalam plugins podem ser vetores de ataques muito mais sérios quando os atacantes modificam componentes legítimos para executar código malicioso em um contexto de confiança. Blindar processos de instalação, evitar exclusões temerárias em ferramentas de segurança e monitorar sinais de sideloading são passos concretos que reduzem a exposição a esse tipo de campanhas.