Исследователи Лаборатории Касперского детально разобрали известный бэкдор ValleyRAT, который маскировался и распространялся под видом рекламного ПО.
Как правило, злоумышленники пытаются выдать вредоносное ПО за полезные приложения или же за нежелательные ПО, которые пользователи ищут и скачивают добровольно, например читы или активаторы пиратского ПО.
Нередко атакующие используют рекламные и партнерские сети для доставки своих разработок на устройства жертв. Собственно, в в новом отчете ЛК обращает внимание на не совсем стандартный случай: известный бэкдор распространялся под видом рекламного ПО.
Исследователи предполагают, что злоумышленники выбрали такой метод, поскольку рекламное приложение было подписано разработчиком. Кроме того, пользователи самостоятельно добавляют такие программы в исключения, дабы воспользоваться их полезной функциональностью.
Некоторое время назад в ЛК обратился клиент с просьбой проанализировать и добавить в базу детектируемых объектов файл с MD5-хэшем c24e99f9437feacaa63766a3cde3fe3d.
Изначально в ЛК идентифицировали его как рекламное ПО, однако поверхностный анализ выявил подозрительную сетевую активность образца, и было решено изучить его глубже. Оказалось, что рекламой дело не ограничивается.
Более того, рекламная функциональность в образце нерабочая, зато он запускает цепочку заражения, которая доставляет в систему бэкдор ValleyRAT.
Файл, которым с нами поделился клиент, оказался инсталлятором, выполняющим различные действия в зависимости от того, какой суффикс используется в его имени. Вероятнее всего, чтобы отвлечь внимание пользователя от вредоносной функциональности образца.
Вне зависимости от имени файла инсталлятор устанавливает в систему модифицированное китайское ПО для управления обоями рабочего стола под названием QN Wallpaper (hxxps://qnwallpaper[.]keansoft[.]cn/) и добавляет в автозагрузку в реестре.
В оригинальной версии QN Wallpaper - действительно рекламное ПО, которое доставляет на устройство партнерские приложения, а затем показывает пользователю рекламные баннеры. Однако в данном случае злоумышленники используют его для реализации DLL sideloading.
В целом за 2026 год ЛК задетектила бэкдор ValleyRAT, а также связанные с ним вредоносные ПО более 100 тысяч раз, у более чем 1500 уникальных пользователей, преимущественно из Китая и Индии.
Такая география атак, а также тот факт, что в них применяется ValleyRAT, может указывать на то, что за кампанией стоит группировка Silver Fox - известный оператор этого семейства вредоносного ПО. Она атакует организации в разных странах с целью кибершпионажа и также обогащения.
Этот кейс - своего рода яркий пример того, что рекламные приложения и партнерские сети могут оказаться куда опаснее, чем кажется.
ValleyRAT представляет собой сложный бэкдор, способный собирать чувствительные данные, такие как нажатия клавиш и содержимое буфера обмена, делать скриншоты и доставлять на устройство дополнительные вредоносные модули.
Злоумышленники воспользовались известным рекламным приложением, чтобы выполнить бэкдор от имени подписанного процесса, усложняя таким образом обнаружение атаки.
Подробный технический разбор и IOCs - в отчете.
August 31, 2026 4.7K 15
