ValleyRAT s’infiltre dans Windows via un adware signé et désactive les défenses

QN Wallpaper transformé en vecteur de diffusion du backdoor

Un installateur modifié de l’application chinoise QN Wallpaper est utilisé pour diffuser ValleyRAT, un backdoor également connu sous le nom de Winos 4.0. La campagne, apparue le 31 août 2026, a probablement été attribuée au groupe Silver Fox.

QN Wallpaper est un programme légitime de gestion des fonds d’écran du bureau. Dans sa configuration d’origine, il affiche des bannières publicitaires et fait la promotion d’applications d’entreprises partenaires. Les attaquants exploitent toutefois son exécutable doté d’une signature numérique afin de dissimuler le lancement du malware.

L’échantillon analysé est installé dans le répertoire suivant :

C:\Program Files\QNWallpaper\5.4.0.1662\

Ce chemin indique que la build 5.4.0.1662 a été utilisée dans l’opération observée. On ignore si d’autres versions de l’application ont été modifiées ou distribuées avec le même payload.

L’élément central de l’attaque réside dans la confiance accordée aux programmes signés. La présence d’une signature numérique établit le lien entre un fichier et son signataire, mais ne garantit pas que l’ensemble du répertoire, les bibliothèques chargées ou le processus de distribution sont sûrs.

Le risque augmente lorsque des utilisateurs ou des administrateurs ajoutent l’application aux exclusions de l’antivirus. Dans ce scénario, le malware peut s’exécuter au sein d’un processus apparemment fiable et bénéficier également des exceptions configurées pour le logiciel qui l’héberge.

Kaspersky fonde son analyse sur un unique installateur transmis par un client. L’attribution à Silver Fox n’est donc pas définitive : elle repose principalement sur la répartition géographique et les caractéristiques du payload.

DLL sideloading au sein d’un processus signé

La chaîne d’infection utilise le DLL sideloading, une technique qui consiste à amener un exécutable légitime à charger une bibliothèque malveillante placée dans le répertoire où il recherche ses dépendances.

L’installateur dépose puis exécute le fichier signé :

QnWallpaper.exe

Lorsqu’il est lancé, le programme charge depuis le même répertoire une bibliothèque nommée :

libcef.dll

Dans une installation normale, un nom de ce type peut sembler cohérent avec une dépendance logicielle. Dans l’échantillon analysé, libcef.dll contient toutefois le composant chargé de lancer ValleyRAT.

Le code malveillant est ainsi exécuté dans le contexte de QnWallpaper.exe. Les contrôles axés sur la réputation de l’exécutable principal ou sur la validité de sa signature peuvent ne pas détecter immédiatement l’anomalie.

Le nom libcef.dll n’est pas inédit dans les opérations liées à ValleyRAT : il était déjà apparu dans un loader du malware en 2025. Le simple nom du fichier ne suffit toutefois pas à identifier une infection, car des bibliothèques portant le même nom peuvent appartenir à des logiciels légitimes. Il convient d’évaluer les hash, le chemin, la provenance et le comportement du fichier.

Au cours de la séquence observée, le composant publicitaire de QN Wallpaper reste inactif. Pour rendre l’exécution moins suspecte, le malware ouvre également une page authentique de Tencent Meetings. Le service de Tencent n’est pas compromis : il est uniquement utilisé comme leurre visuel.

Defender désactivé, persistance et élévation des privilèges

Avant de lancer le composant adware, l’installateur intervient sur les défenses du système. L’une des modifications concerne la valeur de registre :

DisableAntiSpyware

L’objectif est de désactiver Windows Defender et de réduire les chances que les composants malveillants soient détectés ou supprimés. Dans un environnement d’entreprise, toute modification inattendue de cette valeur devrait déclencher une vérification immédiate.

L’installateur configure également la persistance via les clés d’exécution automatique de Windows. ValleyRAT peut ainsi se relancer après la connexion de l’utilisateur ou le redémarrage de la machine.

Si la session actuelle ne dispose pas de droits administrateur, le malware tente de se relancer au moyen de runas. Cette opération vise à obtenir des privilèges plus élevés, nécessaires pour modifier les paramètres de sécurité et renforcer le contrôle du terminal.

ValleyRAT dispose aussi d’une fonction d’autoprotection particulièrement agressive : il peut marquer son propre processus comme critique. Si un administrateur ou un outil de sécurité tente de l’arrêter, Windows peut provoquer un écran bleu et interrompre le fonctionnement de l’ordinateur.

La suppression manuelle doit donc être effectuée avec prudence. Mettre fin au processus sans avoir préalablement isolé le système et évalué ce paramètre pourrait provoquer un arrêt brutal, entraîner la perte de données non enregistrées et rendre la machine temporairement indisponible.

De la surveillance de l’utilisateur au contrôle complet de l’ordinateur

Une fois actif, ValleyRAT offre à l’opérateur un contrôle étendu du système compromis. Les fonctionnalités identifiées comprennent l’enregistrement des frappes, la récupération du contenu du presse-papiers et la capture d’écran.

Ces capacités permettent de dérober des identifiants, des conversations, des documents, des codes temporaires et des informations copiées entre différentes applications. Le risque concerne aussi bien les utilisateurs individuels que les organisations qui autorisent l’installation de logiciels non approuvés sur les appareils professionnels.

Le backdoor peut également recevoir et charger des modules supplémentaires. L’installateur initial ne définit donc pas l’étendue de l’incident : les opérateurs peuvent ultérieurement accroître les capacités du malware ou déployer d’autres outils.

Les communications avec l’infrastructure de commande et contrôle permettent d’envoyer des instructions à la machine infectée et d’exfiltrer des données. Aucun score CVSS n’a été fourni et aucune classification formelle de la gravité n’existe, puisqu’il s’agit d’une campagne de malware et non d’une vulnérabilité logicielle spécifique.

Sur le plan opérationnel, la combinaison reste dangereuse : désactivation de l’antivirus, privilèges administrateur, persistance, collecte d’informations, contrôle à distance et capacité à entraver la suppression.

Au cours de 2026, Kaspersky a recensé plus de 100 000 détections liées à ValleyRAT et à des malwares associés, réparties sur plus de 1 500 utilisateurs uniques, principalement en Chine et en Inde. Ces chiffres décrivent l’activité globale observée et non le nombre de victimes de la campagne QN Wallpaper.

Les éléments reliant l’opération à Silver Fox

Le recours à une application légitime pour exécuter une DLL malveillante correspond aux techniques déjà associées à Silver Fox. Environ cinq semaines auparavant, Cato Networks avait documenté une campagne visant un fabricant japonais, au cours de laquelle le groupe détournait des programmes authentiques à des fins similaires.

Kaspersky avait également associé Silver Fox à une opération sur le thème de la fiscalité visant des organisations en Inde et en Russie. La géographie, le payload et le mode de chargement étayent donc cette attribution, sans pour autant la rendre certaine.

Le fait que l’analyse repose sur un seul installateur limite également la reconstitution de l’opération. Le canal complet de distribution, le nombre d’installations attribuables à l’échantillon et l’éventuelle présence d’autres builds modifiées restent inconnus.

Le domaine associé au téléchargement de l’adware est le suivant :

qnwallpaper[.]keansoft[.]cn

La provenance d’un site distribuant un programme apparemment légitime peut inciter les utilisateurs à baisser leur niveau de vigilance. La signature numérique et une interface crédible complètent la tromperie.

Indicateurs à rechercher et mesures de confinement

Les administrateurs devraient vérifier la présence simultanée de QnWallpaper.exe et d’un fichier libcef.dll suspect dans le répertoire de QN Wallpaper. La validité de la signature de l’exécutable ne doit pas mettre fin à l’analyse.

Les hash MD5 associés à l’échantillon sont les suivants :

c24e99f9437feacaa63766a3cde3fe3d
07ddbbe2c71c45577a7a4fbcdba0df91
8a626d844943da3456b044f38deae3a2

La deuxième valeur identifie la libcef.dll malveillante, tandis que la première correspond à l’installateur analysé. Les adresses de commande et contrôle observées sont les suivantes :

103.45.66.18:441
103.45.66.18:442
103.45.66.18:443
192.253.225.173:6666
192.253.225.173:8888

Les vérifications devraient également porter sur les modifications de DisableAntiSpyware, les nouvelles entrées ajoutées aux clés d’autorun et les connexions vers les adresses indiquées. La page meeting[.]tencent[.]com est légitime et ne constitue pas, à elle seule, une preuve de compromission.

Sur le plan préventif, les organisations devraient interdire les exclusions antivirus accordées sans vérification, limiter l’installation d’adwares et appliquer des règles d’allowlisting fondées non seulement sur la signature. Des contrôles de l’intégrité des DLL chargées par les processus signés sont également recommandés.

Si les indicateurs sont détectés, l’appareil doit être isolé du réseau avant toute remédiation. Il convient de préserver les journaux et les artefacts, de vérifier les autres terminaux et de réinitialiser les identifiants susceptibles d’avoir été interceptés. L’arrêt direct du processus doit être envisagé avec prudence, car son marquage comme processus critique peut provoquer l’arrêt de Windows.