ValleyRAT бэкдор: как подписанное рекламное ПО становится оружием хакеров

Современная кибербезопасность сталкивается с постоянно усложняющимися техниками злоумышленников, которые стремятся оставаться незамеченными как можно для дольше. Недавнее исследование специалистов "Лаборатории Касперского" выявило изощрённую схему распространения бэкдора ValleyRAT, в которой вредоносный код маскируется под легитимное рекламное приложение китайского происхождения под названием QN Wallpaper. Эта кампания примечательна тем, что использует действительную цифровую подпись доверенного процесса для запуска вредоносной динамической библиотеки, что существенно затрудняет обнаружение малвари стандартными средствами защиты. История началась с обращения одного из клиентов "Лаборатории Касперского", чья система вызвала подозрения у специалистов. Изначально подозрительный образец классифицировался как обычное рекламное ПО, поскольку содержал компоненты, характерные для подобных программ. Однако более глубокий анализ сетевой активности выявил аномальные соединения, которые не соответствовали поведению стандартного рекламного приложения. Дальнейшее расследование позволило восстановить полную цепочку заражения и установить, что за якобы безобидным фасадом скрывается полноценный бэкдор ValleyRAT с широким набором шпионских функций. Примечательно, что рекламные функции приложения при этом вообще не работали, что само по себе является индикатором компрометации. Механизм заражения устроен значительно сложнее, чем простое копирование вредоносного файла на диск жертвы. Злоумышленники подготовили модифицированную версию легитимного приложения QN Wallpaper, в состав которой включили вредоносную динамическую библиотеку libcef.dll. Поскольку исполняемый файл QnWallpaper.exe обладает действительной цифровой подписью разработчика, операционная система и большинство средств защиты доверяют этому процессу. Когда подписанный исполняемый файл запускается, он автоматически загружает расположенную рядом вредоносную библиотеку libcef.dll посредством техники, известной под названием DLL sideloading. Эта техника эксплуатирует стандартный механизм поиска динамических библиотек в Windows, когда система в первую очередь ищет DLL-файлы в каталоге запускаемого приложения. Выбор QN Wallpaper в качестве маскировки не случаен и отражает глубокое понимание злоумышленниками психологии пользователей и особенностей работы антивирусных решений. Данное приложение действительно относится к категории рекламного ПО и при легитимном использовании устанавливает на устройство партнёрские программы, а также демонстрирует рекламные баннеры. Именно принадлежность к категории adware заставляет многих пользователей осознанно добавлять подобные приложения в исключения антивируса, чтобы обеспечить корректную работу всех их функций. Эта привычка создаёт критическую уязвимость: пользователь сам открывает дверь для вредоносного кода, доверяя подписанному процессу, который на самом деле загружает совершенно иной код. Дополнительным элементом маскировки служит поведение инсталлятора на начальном этапе заражения. Программа установки демонстрирует активность, характерную для обычного рекламного приложения: она может устанавливать платформу для командной работы DingTalk, загружать и устанавливать браузер Google Chrome или открывать в браузере страницу загрузки приложения Tencent Meeting. Все эти действия выглядят абсолютно легитимно и соответствуют поведению настоящего рекламного ПО, которое часто продвигает партнёрские продукты. Однако за этим отвлекающим манёвром скрывается главная цель: инсталлятор разворачивает в системе жертвы модифицированную версию QN Wallpaper и добавляет её в автозагрузку, обеспечивая постоянное присутствие в системе. Перед выполнением основной вредоносной нагрузки инсталлятор предпринимает попытки ослабить защиту системы. Одним из первых действий является попытка отключить встроенную защиту Windows Defender через модификацию параметра реестра DisableAntiSpyware. Этот параметр, будучи установленным в значение единица, фактически отключает работу Microsoft Defender в реальном времени. Если в системе отсутствуют права администратора, необходимые для модификации реестра, малварь пытается получить повышенные привилегии посредством утилиты runas, которая входит в состав операционной системы Windows. Такой многоэтапный подход к получению привилегий свидетельствует о серьёзной подготовке злоумышленников и их стремлении обеспечить максимальную эффективность заражения. После успешной установки и запуска модифицированного QN Wallpaper вредоносная библиотека libcef.dll приступает к выполнению своей основной задачи. Она извлекает зашифрованный пейлоад ValleyRAT, который хранится в одном из двух возможных мест: либо в отдельном файле с именем PeLoader, либо непосредственно в ресурсах самой динамической библиотеки. Оба варианта зашифрованы с использованием алгоритма AES, что существенно затрудняет статический анализ и обнаружение вредоносного кода. Конфигурации обоих вариантов различаются преимущественно адресами управляющих серверов, к которым будет обращаться бэкдор после запуска. После расшифровки пейлоада библиотека загружает код ValleyRAT непосредственно в оперативную память и инициирует его выполнение, минимизируя следы на диске. Получив управление системой, бэкдор ValleyRAT приступает к выполнению своих шпионских функций. В первую очередь он собирает подробную информацию о конфигурации заражённой машины: данные об установленной операционной системе, аппаратных компонентах, установленных программах, сетевых настройках и активных процессах. Эта информация позволяет операторам бэкдора оценить ценность заражённой системы и выбрать оптимальную стратегию дальнейшей эксплуатации. Помимо сбора системной информации, ValleyRAT перехватывает нажатия клавиш на клавиатуре, что позволяет ему записывать все вводимые пользователем данные, включая логины, пароли, сообщения в мессенджерах и содержимое заполняемых форм. Не менее опасной функцией является перехват содержимого буфера обмена, где могут временно храниться конфиденциальные данные, включая пароли и криптографические ключи. Бэкдор также осуществляет мониторинг активного в данный момент окна, что позволяет ему определять, какое приложение использует жертва в конкретный момент времени, и адаптировать свои действия соответствующим образом. Способность делать скриншоты экрана даёт злоумышленникам возможность получать визуальную информацию о деятельности пользователя, даже если перехват клавиатурного ввода по каким-то причинам невозможен. Получив соответствующую команду от своих операторов, ValleyRAT может выполнять деструктивные действия: перезагружать или выключать зараженную машину, очищать системные логи для затруднения расследования инцидента, динамически менять адреса управляющих серверов и загружать дополнительные вредоносные модули с внешних ресурсов. Особого внимания заслуживает механизм загрузки дополнительных модулей, который реализован с использованием продвинутых техник внедрения кода. ValleyRAT может загружать дополнительные модули в виде DLL-библиотек или произвольного шеллкода. Для запуска шеллкода бэкдор использует технику Process Hollowing, при которой создаётся новый процесс в приостановленном состоянии, после чего его адресное пространство заменяется вредоносным кодом. В качестве целевого процесса для инъекции используется легитимный системный процесс svchost, что дополнительно маскирует вредоносную активность среди множества легитимных процессов операционной системы. Стремление ValleyRAT к обеспечению постоянного присутствия в системе реализовано через несколько изощрённых механизмов. Вредонос способен внедрять свой код в процесс svchost, что приводит к автоматическому перезапуску бэкдора после завершения его основного процесса. При соответствующей конфигурации ValleyRAT может объявить свой процесс критическим для работы операционной системы с помощью функции Windows API NtSetInformationProcess. В результате принудительная попытка завершить процесс малвари приводит к возникновению критической ошибки и синему экрану смерти BSOD. Этот механизм существенно затрудняет ручное удаление вредоноса неподготовленными пользователями, поскольку попытка остановить процесс через диспетчер задач заканчивается аварийным завершением работы всей системы. География обнаруженных заражений даёт важные подсказки о происхождении данной кампании. По информации "Лаборатории Касперского", с начала 2026 года решения компании более ста тысяч раз обнаруживали ValleyRAT и связанную с ним малварь в системах более чем полутора тысяч уникальных пользователей. Подавляющее большинство заражённых систем находилось в Китае и Индии, что может указывать либо на целенаправленную кампанию против пользователей этих регионов, либо на использование китайскоязычного программного обеспечения в качестве вектора заражения. Само использование китайского приложения QN Wallpaper, платформы DingTalk и приложения Tencent Meeting в качестве инструментов маскировки и отвлечения внимания также указывает на вероятную ассоциацию злоумышленников с китайскоязычным сегментом киберпреступного мира. Исследователи полагают, что за данной кампанией стоит группировка, известная под названием Silver Fox, которая является одним из наиболее известных операторов семейства малвари ValleyRAT. Эта группировка уже длительное время активно эксплуатирует различные версии данного бэкдора и постоянно совершенствует методы его распространения. Переход к использованию подписанного рекламного ПО в качестве носителя представляет собой качественный скачок в технике группировки, поскольку ранее ValleyRAT распространялся преимущественно через менее изощрённые методы, такие как фишинговые вложения или эксплойты известных уязвимостей. Применение техники DLL sideloading через подписанный исполняемый файл является крайне опасной практикой, поскольку обходит большинство традиционных средств защиты. Стандартные антивирусные решения при анализе подписанного процесса QnWallpaper.exe не обнаруживают в нём ничего подозрительного, поскольку код этого файла полностью соответствует легитимной версии. Вредоносный код находится в загружаемой динамической библиотеке, которая подменяет легитимный компонент приложения. Этот подход требует от злоумышленников значительных усилий по подготовке и тестированию заражённого пакета, однако результат оправдывает затраты: вероятность обнаружения существенно снижается, а пользователь дольше не подозревает о компрометации своей системы. Для защиты от подобных угроз специалисты рекомендуют придерживаться нескольких важных принципов. Прежде всего, не следует добавлять в исключения антивируса приложения, которым вы не доверяете полностью, даже если они кажутся безобидными рекламными программами. Цифровая подпись файла не является гарантией его безопасности, поскольку злоумышленники могут использовать приложения с действительной подписью в качестве носителей для вредоносного кода. Кроме того, важно отслеживать аномальную сетевую активность процессов, которые по логике не должны устанавливать сетевые соединения с подозрительными адресами. Регулярный аудит автозагрузки, установленных программ и запущенных процессов помогает выявить нежелательное присутствие подобных угроз на ранней стадии. Использование современных решений безопасности с функциями поведенческого анализа и машинного обучения позволяет обнаруживать подозрительную активность даже в случае применения злоумышленниками техник обхода на основе доверенных процессов. 。