Основы Интернет - технологий.

Специалисты «Лаборатории Касперского» обнаружили, что бэкдор ValleyRAT использует для распространения весьма необычную схему. Злоумышленники скрывают малварь внутри модифицированной версии китайского рекламного приложения QN Wallpaper и запускают вредоносный код от имени подписанного процесса. Подозрительный образец привлек внимание специалистов после обращения одного из клиентов. Изначально файл определялся как обычное рекламное ПО, однако дальнейший анализ выявил странную сетевую активность, а более глубокое изучение этой активности привело исследователей к цепочке заражения ValleyRAT (при этом рекламные функции приложения вообще не работали). По словам специалистов, вредоносный инсталлятор мог устанавливать платформу для командной работы DingTalk, браузер Google Chrome или открывать страницу загрузки Tencent Meeting. Однако все эти действия служили лишь отвлекающим маневром: установщик в любом случае разворачивал в системе жертвы модифицированную версию ПО для управления обоями QN Wallpaper и добавлял его в автозагрузку. Настоящий QN Wallpaper действительно относится к разряду рекламного ПО: приложение устанавливает на устройство пользователя партнерские программы, а также показывает баннеры. Однако атакующие используют QN Wallpaper в силу того, что его исполняемый файл имеет действительную цифровую подпись. Так, вместе с программой на устройство попадает вредоносная libcef.dll, которая загружается при запуске подписанного QnWallpaper.exe с помощью техники DLL sideloading. Отмечается, что перед этим инсталлятор пытался отключить защиту Windows Defender через параметр реестра DisableAntiSpyware, а если у пользователя не было прав администратора, малварь пыталась получить их посредством утилиты runas. Затем вредоносная libcef.dll извлекает зашифрованный пейлоад ValleyRAT: в зависимости от процесса он хранится в отдельном файле PeLoader или в ресурсах самой библиотеки. Оба варианта зашифрованы с помощью AES и различаются в основном конфигурацией (в частности адресами управляющих серверов). После расшифровки библиотека загружает ValleyRAT в память и запускает бэкдор. После запуска ValleyRAT собирает подробную информацию о системе жертвы, перехватывает нажатия клавиш и содержимое буфера обмена, наблюдает за активным в настоящее время окном и способен делать скриншоты. Кроме того, получив соответствующую команду от своих операторов, бэкдор может перезагружать и выключать зараженную машину, очищать логи, менять адреса управляющих серверов и загружать дополнительные модули с внешних ресурсов. Также ValleyRAT может загружать дополнительные модули в виде DLL-библиотек или шеллкода. Для запуска шеллкода бэкдор использует технику Process Hollowing, внедряя его в процесс svchost. Также вредонос способен внедрять код в svchost, что приводит к перезапуску бэкдора после завершения его работы, а при соответствующей настройке ValleyRAT и вовсе объявляет свой процесс критическим. В результате принудительное завершение процесса малвари может приводить к возникновению BSOD. Внедряемая функция Исследователи полагают, что маскировка под рекламное ПО — не случайность. Подписанный процесс вызывает меньше подозрений, к тому же пользователи нередко сами добавляют такие программы в исключения антивируса, чтобы корректно работали все функции. По информации «Лаборатории Касперского», с начала 2026 года решения компании более 100 000 раз обнаруживали ValleyRAT и связанную с ним малварь в системах более чем 1500 уникальных пользователей, преимущественно находившихся в Китае и Индии. Исследователи считают, что география атак и использование ValleyRAT могут указывать на причастность к этой кампании группировки Silver Fox, которая является известным оператором этого семейства малвари.