ValleyRAT schleust sich über signierte Adware in Windows ein und deaktiviert Schutzmechanismen

QN Wallpaper als Vehikel für die Backdoor missbraucht

Ein manipuliertes Installationsprogramm der chinesischen Anwendung QN Wallpaper wird zur Verbreitung von ValleyRAT eingesetzt, einer auch als Winos 4.0 bekannten Backdoor. Die am 31. August 2026 bekannt gewordene Kampagne wird mit hoher Wahrscheinlichkeit der Gruppe Silver Fox zugerechnet.

QN Wallpaper ist ein legitimes Programm zur Verwaltung von Desktop-Hintergrundbildern. In der ursprünglichen Konfiguration zeigt es Werbebanner an und bewirbt Anwendungen von Partnerunternehmen. Die Angreifer missbrauchen jedoch dessen digital signierte ausführbare Datei, um den Start der Malware zu verschleiern.

Das untersuchte Sample wird im folgenden Verzeichnis installiert:

C:\Program Files\QNWallpaper\5.4.0.1662\

Der Pfad verweist auf den in der beobachteten Operation verwendeten Build 5.4.0.1662. Es ist nicht bekannt, ob weitere Versionen der Anwendung verändert oder mit derselben Payload verbreitet wurden.

Im Zentrum des Angriffs steht das Vertrauen, das signierten Programmen entgegengebracht wird. Eine digitale Signatur bestätigt die Zuordnung einer Datei zu ihrem Signierer. Sie garantiert jedoch nicht, dass das gesamte Verzeichnis, geladene Bibliotheken oder der Verteilungsprozess sicher sind.

Das Risiko steigt, wenn Benutzer oder Administratoren die Anwendung zu den Antivirus-Ausnahmen hinzufügen. In diesem Szenario kann die Malware innerhalb eines scheinbar vertrauenswürdigen Prozesses agieren und zusätzlich von den für die Host-Anwendung konfigurierten Ausnahmen profitieren.

Kaspersky stützt seine Analyse auf ein einzelnes Installationsprogramm, das von einem Kunden übermittelt wurde. Die Zuordnung zu Silver Fox ist daher nicht endgültig. Sie basiert vor allem auf der geografischen Verbreitung und den Eigenschaften der Payload.

DLL-Sideloading innerhalb eines signierten Prozesses

Die Infektionskette nutzt DLL-Sideloading. Bei dieser Technik wird eine legitime ausführbare Datei dazu gebracht, eine schädliche Bibliothek zu laden, die in dem Verzeichnis liegt, in dem sie nach ihren Abhängigkeiten sucht.

Das Installationsprogramm legt die signierte Datei ab und startet sie:

QnWallpaper.exe

Bei der Ausführung lädt das Programm aus demselben Verzeichnis eine Bibliothek mit dem Namen:

libcef.dll

In einer normalen Installation kann ein solcher Name wie eine gewöhnliche Softwareabhängigkeit wirken. Im analysierten Sample enthält libcef.dll jedoch die Komponente, die ValleyRAT startet.

Der Schadcode wird dadurch im Kontext von QnWallpaper.exe ausgeführt. Kontrollen, die sich auf den Ruf der Hauptanwendung oder die Gültigkeit ihrer Signatur konzentrieren, erkennen die Anomalie möglicherweise nicht sofort.

Der Name libcef.dll ist bei Operationen im Zusammenhang mit ValleyRAT nicht neu: Bereits 2025 tauchte er in einem Loader der Malware auf. Der Dateiname allein reicht jedoch nicht aus, um eine Infektion festzustellen, da gleichnamige Bibliotheken zu legitimer Software gehören können. Hashwerte, Pfad, Herkunft und Verhalten müssen gemeinsam bewertet werden.

Während der beobachteten Sequenz bleibt die Werbekomponente von QN Wallpaper inaktiv. Um die Ausführung weniger verdächtig erscheinen zu lassen, öffnet die Malware außerdem eine legitime Seite von Tencent Meetings. Der Dienst von Tencent wurde nicht kompromittiert, sondern dient lediglich als visuelle Ablenkung.

Defender deaktiviert, Persistenz und Rechteausweitung

Noch bevor die Adware-Komponente gestartet wird, verändert das Installationsprogramm die Schutzmechanismen des Systems. Eine der Änderungen betrifft den folgenden Registry-Wert:

DisableAntiSpyware

Ziel ist es, Windows Defender zu deaktivieren und die Wahrscheinlichkeit zu verringern, dass schädliche Komponenten erkannt oder entfernt werden. In einer Unternehmensumgebung sollte eine unerwartete Änderung dieses Werts umgehend untersucht werden.

Das Installationsprogramm richtet außerdem Persistenz über die Auto-Start-Registry-Schlüssel von Windows ein. ValleyRAT kann dadurch nach der Benutzeranmeldung oder einem Neustart des Systems erneut gestartet werden.

Verfügt die aktuelle Sitzung nicht über Administratorrechte, versucht die Malware, sich über runas erneut zu starten. Damit sollen höhere Berechtigungen erlangt werden, die zum Ändern von Sicherheitseinstellungen und zur weiteren Kontrolle des Endpunkts erforderlich sind.

ValleyRAT verfügt zudem über eine besonders aggressive Selbstschutzfunktion: Der eigene Prozess kann als kritischer Prozess markiert werden. Versucht ein Administrator oder ein Sicherheitstool, ihn zu beenden, kann Windows mit einem Bluescreen reagieren und den Computerbetrieb unterbrechen.

Eine manuelle Entfernung erfordert daher besondere Vorsicht. Wird der Prozess beendet, bevor das System isoliert und diese Einstellung geprüft wurde, kann dies zu einem plötzlichen Herunterfahren führen. Dabei können nicht gespeicherte Daten verloren gehen und der Rechner vorübergehend ausfallen.

Von der Benutzerüberwachung zur vollständigen Kontrolle des Computers

Nach der Aktivierung bietet ValleyRAT dem Angreifer umfassende Kontrolle über das kompromittierte System. Zu den festgestellten Funktionen gehören Keylogging, das Auslesen der Zwischenablage und die Aufnahme von Screenshots.

Damit lassen sich Zugangsdaten, Unterhaltungen, Dokumente, Einmalcodes und Informationen stehlen, die zwischen Anwendungen kopiert wurden. Das Risiko betrifft sowohl Einzelanwender als auch Organisationen, die nicht genehmigte Software auf Arbeitsgeräten zulassen.

Die Backdoor kann außerdem zusätzliche Module empfangen und laden. Das ursprüngliche Installationsprogramm definiert daher nicht die Grenzen des Vorfalls: Die Betreiber können die Fähigkeiten der Malware später erweitern oder weitere Werkzeuge nachladen.

Die Kommunikation mit der Command-and-Control-Infrastruktur ermöglicht es, Befehle an den infizierten Rechner zu senden und Daten zu übertragen. Es wurde kein CVSS-Score veröffentlicht, und eine formale Schweregradklassifizierung liegt nicht vor, da es sich um eine Malware-Kampagne und nicht um eine konkrete Softwareschwachstelle handelt.

Aus operativer Sicht bleibt die Kombination gefährlich: Deaktivierung des Antivirenschutzes, Administratorrechte, Persistenz, Informationssammlung, Fernsteuerung und die Fähigkeit, die Entfernung zu erschweren.

Im Verlauf des Jahres 2026 verzeichnete Kaspersky mehr als 100.000 Erkennungen von ValleyRAT und verwandter Malware auf über 1.500 eindeutigen Geräten, hauptsächlich in China und Indien. Diese Zahlen beschreiben die insgesamt beobachtete Aktivität und nicht die Zahl der Opfer der QN-Wallpaper-Kampagne.

Hinweise auf eine Zuordnung der Operation zu Silver Fox

Die Verwendung einer legitimen Anwendung zum Ausführen einer schädlichen DLL entspricht Techniken, die bereits mit Silver Fox in Verbindung gebracht wurden. Rund fünf Wochen zuvor hatte Cato Networks eine Kampagne gegen einen japanischen Hersteller dokumentiert, bei der die Gruppe auf ähnliche Weise legitime Programme missbrauchte.

Kaspersky brachte Silver Fox außerdem mit einer Kampagne im Zusammenhang mit dem Thema Steuern in Verbindung, die sich gegen Organisationen in Indien und Russland richtete. Geografie, Payload und Lademethode stützen daher die Zuordnung, machen sie jedoch nicht zu einer Gewissheit.

Da die Analyse auf einem einzigen Installationsprogramm basiert, ist auch die Rekonstruktion des Vorfalls nur eingeschränkt möglich. Der vollständige Verbreitungsweg, die Zahl der auf dieses Sample zurückgehenden Installationen und ein möglicher Einsatz weiterer manipulierter Builds sind nicht bekannt.

Die mit dem Download der Adware verbundene Domain lautet:

qnwallpaper[.]keansoft[.]cn

Die Herkunft von einer Website, die ein scheinbar legitimes Programm verteilt, kann dazu führen, dass Benutzer ihre Schutzmaßnahmen weniger kritisch hinterfragen. Eine digitale Signatur und eine plausible Benutzeroberfläche verstärken die Täuschung.

Zu suchende Indicators of Compromise und Eindämmungsmaßnahmen

Administratoren sollten prüfen, ob QnWallpaper.exe und eine verdächtige libcef.dll gleichzeitig im QN-Wallpaper-Verzeichnis vorhanden sind. Eine gültige Signatur der ausführbaren Datei darf die weitere Analyse nicht beenden.

Die mit dem Sample verbundenen MD5-Hashes lauten:

c24e99f9437feacaa63766a3cde3fe3d
07ddbbe2c71c45577a7a4fbcdba0df91
8a626d844943da3456b044f38deae3a2

Der zweite Wert identifiziert die schädliche libcef.dll, während der erste dem analysierten Installationsprogramm entspricht. Die beobachteten Command-and-Control-Adressen sind:

103.45.66.18:441
103.45.66.18:442
103.45.66.18:443
192.253.225.173:6666
192.253.225.173:8888

Die Untersuchungen sollten auch Änderungen an DisableAntiSpyware, neue Einträge in den Auto-Start-Schlüsseln und Verbindungen zu den genannten Adressen umfassen. Die Seite meeting[.]tencent[.]com ist legitim und stellt für sich genommen keinen Hinweis auf eine Kompromittierung dar.

Zur Prävention sollten Organisationen nicht überprüfte Antivirus-Ausnahmen untersagen, die Installation von Adware einschränken und Allowlisting-Regeln anwenden, die sich nicht ausschließlich auf digitale Signaturen stützen. Ebenfalls sinnvoll sind Integritätsprüfungen für DLLs, die von signierten Prozessen geladen werden.

Werden die Indicators of Compromise gefunden, muss das Gerät vor der Bereinigung vom Netzwerk isoliert werden. Logs und Artefakte sollten gesichert, weitere Endpunkte überprüft und potenziell abgefangene Zugangsdaten zurückgesetzt werden. Das direkte Beenden des Prozesses ist mit Vorsicht zu bewerten, da die Markierung als kritischer Prozess einen Absturz von Windows auslösen kann.