Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Gli esperti di Kaspersky Lab hanno rilevato che il malware ValleyRAT si nasconde in una versione modificata dell'applicazione pubblicitaria cinese QN Wallpaper. Il malware utilizza una firma digitale valida per eludere i controlli di sicurezza e distribuisce il payload crittografato ValleyRAT, che raccoglie informazioni dettagliate sul sistema della vittima e intercetta le attività dell'utente.
Gli esperti di kaspersky hanno rilevato che il malware ValleyRAT utilizza uno schema di diffusione piuttosto insolito. I criminali informatici nascondono l’artefatto all’interno di una versione modificata dell’applicazione pubblicitaria cinese QN Wallpaper e avvia il codice dannoso da un processo firmato.
Un campione sospetto ha attirato l’attenzione degli esperti dopo la segnalazione di uno dei clienti. Inizialmente, il file veniva identificato come un normale software pubblicitario, ma un’analisi più approfondita ha rivelato un’attività di rete insolita. Un esame ancora più dettagliato di questa attività ha portato i ricercatori a una catena di infezione di ValleyRAT (mentre le funzioni pubblicitarie dell’applicazione non funzionavano affatto).
Secondo gli esperti, veniva installata la piattaforma per il lavoro di squadra DingTalk, il browser Google Chrome e aprire la pagina di download di Tencent Meeting. Tuttavia, tutte queste azioni servivano solo come diversivo: l’installer, in ogni caso, distribuiva nel sistema della vittima una versione modificata del software per la gestione degli sfondi e lo aggiungeva all’avvio automatico.
Il vero QN Wallpaper appartiene effettivamente alla categoria del software pubblicitario che veniva installato dall’installer del malware. Tuttavia, gli attaccanti utilizzano QN Wallpaper perché il suo file eseguibile ha una firma digitale valida. Insieme al programma, sul dispositivo viene inserita la libreria dannosa libcef.dll, che viene caricata all’avvio di QnWallpaper.exe utilizzando la tecnica del DLL sideloading.
Si osserva che prima di questo, l’installer ha tentato di disattivare la protezione di Windows Defender tramite il parametro del registro DisableAntiSpyware, e se l’utente non aveva i privilegi di amministratore, il malware ha tentato di ottenerli tramite l’utilità runas.
Successivamente, la libreria dannosa libcef.dll estrae il payload crittografato ValleyRAT: a seconda del processo, viene memorizzato in un file separato PeLoader o nelle risorse della stessa libreria. Entrambe le varianti sono crittografate con AES e differiscono principalmente nella configurazione (in particolare negli indirizzi dei server di controllo). Dopo la decrittazione, la libreria carica ValleyRAT si attiva in memoria.
Dopo l’avvio, ValleyRAT raccoglie informazioni dettagliate sul sistema della vittima, intercetta i tasti premuti e il contenuto della clipboard, monitora la finestra attiva al momento e può fare screenshot. Inoltre, su comando dei propri operatori, il malware può riavviare e spegnere la macchina infetta, cancellare i log, modificare gli indirizzi dei server di controllo e caricare moduli aggiuntivi da risorse esterne.
ValleyRAT può anche caricare moduli aggiuntivi sotto forma di librerie DLL o shellcode. Per eseguire lo shellcode, utilizza la tecnica del Process Hollowing, inserendolo nel processo svchost. Di conseguenza, la chiusura forzata del processo del malware può portare alla comparsa di BSOD.
I ricercatori ritengono che la mascheratura come software pubblicitario non sia casuale. Un processo firmato suscita meno sospetti, inoltre gli utenti spesso aggiungono tali programmi alle eccezioni dell’antivirus per garantire il corretto funzionamento di tutte le funzioni.
Secondo le informazioni di inizio del 2026, l’azienda ha rilevato ValleyRAT e il malware ad esso associato in oltre 100.000 sistemi di più di 1.500 utenti unici, principalmente situati in Cina e India. Gli esperti ritengono che la geografia degli attacchi e l’uso di ValleyRAT possano indicare la partecipazione di questo gruppo Silver Fox, che è un noto operatore di questo famiglia di malware.
