ValleyRAT si infiltra in Windows attraverso un adware firmato e disattiva le difese

QN Wallpaper trasformato in un veicolo per il backdoor

Un installer modificato dell’applicazione cinese QN Wallpaper viene utilizzato per distribuire ValleyRAT, backdoor conosciuto anche come Winos 4.0. La campagna, emersa il 31 agosto 2026, è stata collegata con probabilità al gruppo Silver Fox.

QN Wallpaper è un programma legittimo per la gestione degli sfondi desktop. Nella sua configurazione originale mostra banner pubblicitari e promuove applicazioni di aziende partner. Gli attaccanti ne sfruttano però l’eseguibile dotato di firma digitale per nascondere l’avvio del malware.

Il campione esaminato viene installato nella directory:

C:\Program Files\QNWallpaper\5.4.0.1662\

Il percorso indica la build 5.4.0.1662 usata nell’operazione osservata. Non è noto se altre versioni dell’applicazione siano state modificate o distribuite con lo stesso payload.

L’elemento centrale dell’attacco è la fiducia attribuita ai programmi firmati. La presenza di una firma digitale dimostra l’associazione tra un file e il relativo firmatario, ma non garantisce che l’intera directory, le librerie caricate o il processo di distribuzione siano sicuri.

Il rischio aumenta quando utenti o amministratori inseriscono l’applicazione nelle esclusioni dell’antivirus. In questo scenario il malware può operare dentro un processo apparentemente affidabile, beneficiando anche delle eccezioni configurate per il software che lo ospita.

Kaspersky basa l’analisi su un singolo installer inviato da un cliente. L’attribuzione a Silver Fox non è quindi definitiva: deriva soprattutto dalla distribuzione geografica e dalle caratteristiche del payload.

Il DLL sideloading dentro un processo firmato

La catena d’infezione utilizza il DLL sideloading, una tecnica con cui un eseguibile legittimo viene indotto a caricare una libreria malevola collocata nel percorso in cui cerca le proprie dipendenze.

L’installer deposita e avvia il file firmato:

QnWallpaper.exe

Quando viene eseguito, il programma carica dalla medesima directory una libreria chiamata:

libcef.dll

In una normale installazione, un nome simile può apparire coerente con una dipendenza software. Nel campione analizzato, invece, libcef.dll contiene la componente incaricata di avviare ValleyRAT.

Il codice ostile viene così eseguito nel contesto di QnWallpaper.exe. I controlli concentrati sulla reputazione dell’eseguibile principale o sulla validità della firma possono non riconoscere immediatamente l’anomalia.

Il nome libcef.dll non è nuovo nelle operazioni legate a ValleyRAT: era già apparso in un loader del malware nel 2025. Il solo nome del file, tuttavia, non basta a identificare un’infezione, perché librerie omonime possono appartenere a software legittimo. Devono essere valutati hash, percorso, provenienza e comportamento.

Durante la sequenza osservata, la componente pubblicitaria di QN Wallpaper rimane inattiva. Per rendere l’esecuzione meno sospetta, il malware apre inoltre una pagina autentica di Tencent Meetings. Il servizio di Tencent non risulta compromesso: viene impiegato soltanto come diversivo visivo.

Defender disabilitato, persistenza ed escalation dei privilegi

Prima di avviare la parte adware, l’installer interviene sulle difese del sistema. Una delle modifiche riguarda il valore di registro:

DisableAntiSpyware

L’obiettivo è disabilitare Windows Defender e ridurre la possibilità che i componenti malevoli vengano rilevati o rimossi. In un ambiente aziendale, una modifica inattesa a questo valore dovrebbe generare un controllo immediato.

L’installer configura inoltre la persistenza attraverso le chiavi di esecuzione automatica di Windows. ValleyRAT può così riavviarsi dopo l’accesso dell’utente o il riavvio della macchina.

Se la sessione corrente non dispone di diritti amministrativi, il malware prova a rilanciarsi mediante runas. Questa operazione punta a ottenere privilegi più elevati, necessari per modificare impostazioni di sicurezza e consolidare il controllo dell’endpoint.

ValleyRAT dispone anche di una funzione di autodifesa particolarmente aggressiva: può marcare il proprio processo come critico. Se un amministratore o uno strumento di sicurezza tenta di terminarlo, Windows può reagire con una schermata blu e interrompere il funzionamento del computer.

La rimozione manuale, quindi, richiede cautela. Terminare il processo senza avere prima isolato il sistema e valutato questa impostazione potrebbe causare un arresto improvviso, con perdita dei dati non salvati e indisponibilità temporanea della macchina.

Dalla sorveglianza dell’utente al controllo completo del computer

Una volta attivo, ValleyRAT offre all’operatore un controllo esteso del sistema compromesso. Le funzioni rilevate includono la registrazione dei tasti digitati, l’acquisizione degli appunti e la cattura di schermate.

Queste capacità permettono di sottrarre credenziali, conversazioni, documenti, codici temporanei e informazioni copiate tra applicazioni. Il rischio riguarda sia gli utenti individuali sia le organizzazioni che consentono software non approvato sui dispositivi di lavoro.

Il backdoor può inoltre ricevere e caricare moduli aggiuntivi. L’installer iniziale non definisce quindi il limite dell’incidente: gli operatori possono ampliare successivamente le capacità del malware o introdurre altri strumenti.

Le comunicazioni con l’infrastruttura di comando e controllo consentono di impartire ordini alla macchina infetta e trasferire dati. Non è stato fornito un punteggio CVSS né esiste una classificazione formale della gravità, trattandosi di una campagna malware e non di una specifica vulnerabilità software.

Sul piano operativo, la combinazione rimane pericolosa: disattivazione dell’antivirus, privilegi amministrativi, persistenza, raccolta di informazioni, controllo remoto e capacità di ostacolare la rimozione.

Nel corso del 2026, Kaspersky ha contato oltre 100.000 rilevamenti relativi a ValleyRAT e malware associati, distribuiti su più di 1.500 utenti unici, principalmente in Cina e India. Questi dati descrivono l’attività complessiva osservata e non il numero di vittime della campagna QN Wallpaper.

Gli elementi che riconducono l’operazione a Silver Fox

Il ricorso a un’applicazione legittima per eseguire una DLL ostile è coerente con le tecniche già associate a Silver Fox. Circa cinque settimane prima, Cato Networks aveva documentato una campagna contro un produttore giapponese nella quale il gruppo abusava di programmi autentici con finalità analoghe.

Kaspersky aveva inoltre collegato Silver Fox a un’operazione a tema fiscale diretta contro organizzazioni in India e Russia. Geografia, payload e modalità di caricamento sostengono quindi l’attribuzione, pur senza trasformarla in una certezza.

Il fatto che l’analisi derivi da un solo installer impone anche un limite alla ricostruzione. Non sono noti il canale completo di distribuzione, il numero di installazioni riconducibili al campione o l’eventuale presenza di altre build alterate.

Il dominio associato al download dell’adware è:

qnwallpaper[.]keansoft[.]cn

La provenienza da un sito che distribuisce un programma apparentemente legittimo può indurre gli utenti ad abbassare le difese. Firma digitale e interfaccia plausibile completano l’inganno.

Indicatori da cercare e misure di contenimento

Gli amministratori dovrebbero verificare la presenza contemporanea di QnWallpaper.exe e di una libcef.dll sospetta nella directory di QN Wallpaper. La firma valida dell’eseguibile non deve chiudere l’analisi.

Gli hash MD5 associati al campione sono:

c24e99f9437feacaa63766a3cde3fe3d
07ddbbe2c71c45577a7a4fbcdba0df91
8a626d844943da3456b044f38deae3a2

Il secondo valore identifica la libcef.dll malevola, mentre il primo corrisponde all’installer analizzato. Gli indirizzi di comando e controllo osservati sono:

103.45.66.18:441
103.45.66.18:442
103.45.66.18:443
192.253.225.173:6666
192.253.225.173:8888

I controlli dovrebbero comprendere anche modifiche a DisableAntiSpyware, nuove voci nelle chiavi di autorun e connessioni verso gli indirizzi indicati. La pagina meeting[.]tencent[.]com è legittima e, isolatamente, non costituisce prova di compromissione.

Sul piano preventivo, le organizzazioni dovrebbero vietare esclusioni antivirus concesse senza verifica, limitare l’installazione di adware e applicare criteri di allowlisting basati non soltanto sulla firma. Sono utili anche controlli sull’integrità delle DLL caricate dai processi firmati.

Se vengono trovati gli indicatori, il dispositivo va isolato dalla rete prima della bonifica. Occorre preservare log e artefatti, controllare gli altri endpoint e reimpostare le credenziali potenzialmente intercettate. La terminazione diretta del processo deve essere valutata con prudenza, poiché la marcatura come processo critico potrebbe provocare un arresto di Windows.