ValleyRAT: backdoor in adware firmato aggira antivirus con DLL…

Il gruppo Silver Fox distribuisce il backdoor ValleyRAT camuffato da adware cinese firmato. Il DLL sideloading di libcef.dll e l'ingegneria sociale sulle esclusioni

Il gruppo Silver Fox distribuisce il backdoor ValleyRAT, noto anche come Winos 4.0, impacchettandolo dentro QN Wallpaper, un adware cinese legittimo e firmato digitalmente. L'attacco, documentato da Kaspersky in una ricerca pubblicata il 31 agosto 2026, sfrutta due leve contemporaneamente: il DLL sideloading per eseguire codice malevolo nel contesto di un processo apparentemente affidabile, e l'ingegneria sociale per indurre le vittime a inserire il software nelle esclusioni degli antivirus. Il risultato è un compromesso che nasce dalla fiducia esplicita concessa dall'utente, non da una vulnerabilità tecnicamente sfruttabile.

La tecnica è parte consolidata del toolkit di Silver Fox. Circa cinque settimane prima della campagna QN Wallpaper, Cato Networks aveva già documentato la stessa infrastruttura di DLL sideloading contro un produttore giapponese. Kaspersky ha tracciato Silver Fox anche in una precedente campagna fiscale contro organizzazioni in India e Russia. La ricerca si basa su un singolo installer sottomesso da un cliente, il che limita la visibilità sulla scala esatta della campagna QN Wallpaper, ma non sulla solidità tecnica dell'analisi.

Punti chiave

Silver Fox distribuisce ValleyRAT camuffato da QN Wallpaper, adware cinese firmato digitalmente, con meccanismo di DLL sideloading di libcef.dll malevola
L'installer disabilita Windows Defender tramite la chiave registry DisableAntiSpyware e aggiunge il programma all'autorun, poi riavvia con runas se l'utente non ha privilegi di amministratore
ValleyRAT marca il proprio processo come critico per causare BSOD alla terminazione, cattura tasti e clipboard via DirectInput8, e può iniettarsi in svchost con tecnica di memoria PAGE_NOACCESS
Kaspersky ha rilevato oltre 100.000 detection di ValleyRAT nel 2026 su più di 1.500 utenti unici, principalmente in Cina e India; la cifra copre l'attività annuale complessiva, non solo questa campagna

Come funziona l'installazione: l'installer che cambia comportamento in base al nome

L'installer analizzato da Kaspersky, con MD5 c24e99f9437feacaa63766a3cde3fe3d, non è un eseguibile monolitico: il suo comportamento varia in base al suffisso nel nome del file. FS_SETUP_DD_173.exe installa DingTalk, un'applicazione di collaborazione cinese, mentre FS_SETUP_HY_173.exe apre meeting.tencent.com come diversivo. Questa flessibilità suggerisce un'infrastruttura di distribuzione modulare, in grado di adattare il front-end al contesto della vittima.

I file vengono estratti in C:\Program Files\QNWallpaper\5.4.0.1662\<stringa casuale>, un percorso che imita l'installazione legittima di QN Wallpaper nella sua versione 5.4.0.1662. Tra i file estratti c'è QnWallpaper.exe, firmato e apparentemente benigno, che ha dipendenze in libcef.dll — la Chromium Embedded Framework. La versione legittima della libreria viene sostituita con un modulo malevolo, MD5 07ddbbe2c71c45577a7a4fbcdba0df91, che il processo firmato carica automaticamente dalla stessa directory. Questo è il DLL sideloading: non c'è exploit di vulnerabilità, ma abuso di una funzionalità di caricamento dinamico previsto dal sistema operativo.

La libcef.dll malevola contiene una funzione RunDLL che QnWallpaper.exe non invoca. Probabilmente pensata per invocazione manuale via rundll32, questa funzione rappresenta un'opzione residua per l'attaccante: un secondo ingresso al sistema che resta disponibile anche se il flusso principale viene interrotto. L'installer, inoltre, scrive la chiave DisableAntiSpyware nel registry per disabilitare Windows Defender e aggiunge il programma all'autorun. Se l'utente non dispone di privilegi elevati, il malware si rilancia con runas per ottenerli.

La persistenza di ValleyRAT: quando la terminazione del processo distrugge il sistema

ValleyRAT non si limita a installarsi: si protegge. La configurazione del backdoor è offuscata con una tecnica semplice ma efficace: le stringhe sono scritte al rovescio. Decodificate, le chiavi rivelano un'architettura di controllo precisa: dd regola il tempo di sleep iniziale, cl il delay dopo l'esecuzione di un comando, bh abilita la marcatura del processo come critico con conseguente BSOD alla terminazione, ll controlla la presenza di tool di sicurezza, sh gestisce l'iniezione in svchost.exe.

L'iniezione in svchost è particolarmente insidiosa. Il malware alloca memoria con permessi PAGE_NOACCESS, rendendo il codice invisibile a scansioni che leggono le regioni di memoria. Attende 60 secondi, poi cambia i permessi in eseguibili e riprende il thread. Se il backdoor viene interrotto, questo meccanismo funge da dead man's switch: il processo ospite si riattiva autonomamente. La cattura dei dati avviene tramite DirectInput8 per i tasti e la finestra attiva, oltre alla clipboard. Kaspersky ha confermato anche la capacità di screenshot e download di moduli aggiuntivi.

La componente aggiuntiva identificata, MD5 8a626d844943da3456b044f38deae3a2, completa l'arsenale. I server di comando e controllo individuati sono 103.45.66.18 sulle porte 441, 442 e 443, e 192.253.225.173 sulle porte 6666 e 8888. La distribuzione delle porte suggerisce un'infrastruttura ridondante, con protocolli che mimano il traffico HTTPS per evadere i filtri di rete.

"This case is a clear example of how adware and affiliate networks can turn out to be far more dangerous than they appear. ValleyRAT is a sophisticated backdoor capable of collecting sensitive data such as keystrokes and clipboard contents, taking screenshots, and delivering additional malicious modules." — Kaspersky, via The Hacker News

La firma digitale come illusione: perché il trust nel file eseguibile non protegge dalle librerie caricate

Il cuore tecnico dell'attacco è un paradosso del modello di sicurezza Windows: la firma digitale di QnWallpaper.exe è valida, il certificato è intestato a un vendor reale, l'eseguibile non è stato modificato. Eppure esegue codice arbitrario. Il sistema di trust basato sulla reputazione del file — il fondamento di AppLocker, di molti antivirus, e della percezione utente — fallisce perché non verifica ricorsivamente tutte le dipendenze dinamiche caricate a runtime. La libcef.dll malevola risiede nella stessa directory dell'eseguibile; Windows la preferisce rispetto alla versione di sistema, e il processo firmato la carica senza allarmi.

Questo non è un bug. È un comportamento documentato del sistema operativo, che privilegia le librerie locali per compatibilità applicativa. Gli attaccanti lo sanno e lo sfruttano sistematicamente. Silver Fox in particolare ha dimostrato di padroneggiare questa tecnica in almeno due campagne distinte, con intervallo di circa cinque settimane, contro target in Asia orientale. La firma digitale non è quindi un indicatore di sicurezza assoluta, ma un elemento di un'architettura di trust che può essere segmentato e aggirato.

La natura di QN Wallpaper — adware legittimo con bundled applications e banner pubblicitari — aggiunge un ulteriore strato di plausibilità. Le funzionalità pubblicitarie restano inerti durante la catena di infezione analizzata, ma il loro riutilizzo come involucro è funzionale: l'utente si aspetta comportamenti invasivi, richieste di permessi, modifiche al sistema. Il malware si nasconde nell'ombra di un comportamento già fastidioso ma socialmente accettato.

Cosa fare adesso

Rivedere le policy sulle esclusioni antivirus: ogni aggiunta manuale deve passare per un workflow di approvazione con verifica del vendor e dello scopo, non essere delegata all'utente finale
Ispezionare le liste di esclusioni esistenti alla ricerca di software di terze parti con reputazione ambigua, in particolare adware e utility di personalizzazione desktop, anche se firmati
Monitorare i caricamenti DLL da percorsi non standard con strumenti che verificano la coerenza hash delle librerie rispetto al catalogo ufficiale del vendor, non solo la firma del processo padre
Controllare la presenza della chiave registry DisableAntiSpyware e delle voci di autorun che puntano a percorsi con stringhe casuali sotto Program Files, pattern compatibile con l'installer QN Wallpaper

Il problema delle esclusioni: quando la comodità utente diventa privilegio di attacco

L'elemento distintivo di questa campagna non è tecnico, ma organizzativo. Gli attaccanti sanno che gli utenti, frustrati dai falsi positivi degli antivirus, aggiungono volontariamente software alle esclusioni. Kaspersky lo documenta esplicitamente: le istruzioni distribuite con l'adware o reperibili su forum guida l'utente a escludere QnWallpaper.exe dalle scansioni. Questa è ingegneria sociale operativa, non teorica: l'utente diventa il veicolo del proprio compromesso, con un'azione che il sistema di sicurezza registra come esplicita volontà.

La conseguenza è un attack surface sistemico. Le liste di esclusione sono tradizionalmente gestite come comodità, non come rischio. Il caso di ValleyRAT dimostra che devono essere trattate come privilegi di alto impatto: ogni esclusione è un bypass potenziale della barriera di difesa, e la sua concessione deve essere auditabile, temporanea e motivata. La firma digitale del software escluso non attenua questo rischio, perché il DLL sideloading aggira la logica del trust monolitico.

La distribuzione geografica — Cina e India come aree primarie delle oltre 100.000 detection del 2026 — non limita la rilevanza del caso. Le infrastrutture di adware, le affiliate network che monetizzano il traffico di installazione, e le piattaforme di distribuzione di software di utilità sono globali. Il modello di attacco è trasportabile in qualsiasi mercato dove gli utenti installano attivamente software di personalizzazione e sono abituati a interagire con le impostazioni di sicurezza per farlo funzionare.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter