ValleyRAT si traveste da adware firmato: oltre 100.000 rilevamenti nel 2026

🛡️ Executive Summary

• ValleyRAT viene distribuito attraverso una versione modificata dell’adware QN Wallpaper, sfruttata per eseguire una DLL malevola dentro processi firmati.
• La backdoor registra tasti e clipboard, acquisisce screenshot, scarica moduli aggiuntivi e può proteggere il proprio processo attraverso diversi meccanismi di persistenza.
• Kaspersky registra oltre 100.000 rilevamenti nel 2026 e più di 1.500 utenti unici colpiti, soprattutto in Cina e India.

ValleyRAT torna con una nuova catena di distribuzione che sfrutta la reputazione di un normale adware per nascondere una backdoor completa. Kaspersky ha individuato una versione modificata di QN Wallpaper, applicazione cinese per la gestione degli sfondi, utilizzata per caricare ValleyRAT attraverso DLL sideloading e processi firmati. Il campione iniziale sembrava un semplice programma pubblicitario, ma l’analisi del traffico di rete ha rivelato una catena capace di disattivare Windows Defender, ottenere privilegi amministrativi, caricare payload cifrati in memoria e installare il RAT. Nel corso del 2026, Kaspersky afferma di aver rilevato ValleyRAT e i malware associati oltre 100.000 volte, coinvolgendo più di 1.500 utenti unici, principalmente in Cina e India.

Il falso adware installa QN Wallpaper e prepara ValleyRAT

La catena analizzata da Kaspersky Securelist parte da un installer capace di modificare il proprio comportamento apparente in base al suffisso presente nel nome del file. Alcune varianti installano DingTalk, altre Google Chrome, mentre un’altra apre la pagina di download di Tencent Meeting, operazioni che sembrano progettate soprattutto per distrarre l’utente. Indipendentemente dal nome scelto, l’installer deposita una versione modificata di QN Wallpaper, software che nella sua forma legittima distribuisce applicazioni partner e mostra banner pubblicitari. Nella campagna osservata, invece, la funzionalità pubblicitaria non opera correttamente e il programma viene trasformato nell’host di una catena malevola. I file vengono salvati sotto C:\Program Files\QNWallpaper\5.4.0.1662\, insieme a una copia ostile di libcef.dll, agli eseguibili legittimi QnWallpaper.exe e QnwPlayer.exe e al file PeLoader, contenente una copia cifrata della backdoor. Prima dell’avvio, l’installer interviene inoltre sulla chiave DisableAntiSpyware del registro per tentare di disabilitare Microsoft Defender.

L’aspetto più efficace della catena è l’abuso di DLL sideloading. Gli eseguibili di QN Wallpaper richiedono normalmente libcef.dll, ma gli aggressori collocano nella stessa directory una versione modificata della libreria. Quando il processo firmato viene avviato, Windows carica la DLL locale ostile e ne esegue automaticamente il codice attraverso DllMain. La tecnica permette così al payload di operare all’interno del contesto di un’applicazione apparentemente legittima, rendendo più difficile distinguere il comportamento malevolo basandosi soltanto sulla firma dell’eseguibile. La strategia richiama altre campagne attribuite all’ecosistema Silver Fox, dove software autentico e DLL preparate dagli aggressori vengono combinati per ottenere esecuzione sotto processi affidabili. Una campagna di luglio aveva già mostrato Silver Fox utilizzare applicazioni PDF firmate e driver vulnerabili per installare ValleyRAT, confermando la continuità di questo modello operativo.

Leggi anche: ValleyRAT usa rootkit kernel, plugin modulari e tecniche avanzate per aggirare le difese Windows

La DLL ottiene privilegi amministrativi e carica due payload AES

Una volta attivata, libcef.dll verifica se l’utente appartiene al gruppo Administrators e, in caso contrario, tenta di rilanciare il processo attraverso runas per ottenere privilegi superiori. La libreria controlla quindi quale processo la stia ospitando e sceglie il payload da caricare. Se si trova dentro QnWallpaper.exe, recupera il codice dal file PeLoader; se opera attraverso QnwPlayer.exe, utilizza invece una risorsa incorporata nella stessa DLL. Entrambi i payload sono librerie AES cifrate contenenti ValleyRAT e differiscono principalmente per gli indirizzi dei server C2 configurati. Dopo la decifratura, il loader verifica le signature dell’header PE e, se il controllo viene superato, mappa direttamente il file nella memoria del processo prima di trasferire l’esecuzione alla backdoor.

ValleyRAT utilizza una configurazione composta da coppie key:value memorizzate in ordine inverso per ostacolare l’analisi statica. I parametri definiscono indirizzo e porta del server C2, scelta tra TCP e UDP, tempi di sleep e diverse opzioni di protezione. Una configurazione può ordinare al RAT di iniettare codice in svchost.exe, con il solo compito di riavviare il processo malevolo se viene terminato. Un’altra può contrassegnare il processo come critical process, provocando potenzialmente una schermata blu se qualcuno tenta di chiuderlo. Un ulteriore meccanismo riavvia automaticamente la backdoor dopo un’eccezione non gestita. La persistenza viene rafforzata anche associando un’estensione di file personalizzata e collocando il relativo file nella directory Startup dell’utente.

Keylogger, clipboard e screenshot trasformano l’adware in spyware

Una volta operativo, ValleyRAT espone funzioni che vanno ben oltre quelle di un semplice downloader. La backdoor utilizza DirectInput8 per registrare i tasti premuti e monitorare la finestra attualmente attiva, acquisisce il contenuto della clipboard e salva le informazioni raccolte su disco. Recupera inoltre hostname, indirizzi IP, tempo di inattività dell’utente, versione dettagliata di Windows, numero di core della CPU, spazio libero, adattatore grafico, lingua del sistema, architettura e percorso della directory di sistema. Se la relativa opzione è attiva, ValleyRAT enumera periodicamente le finestre alla ricerca di strumenti utilizzabili per analizzare processi o traffico di rete, aggiungendo così un livello di anti-analysis alla catena. Dal server remoto gli operatori possono impartire comandi per riavviare o spegnere il computer, acquisire screenshot, cancellare log, aggiornare gli indirizzi C2 e scaricare ulteriori moduli. La funzione di download accetta payload provenienti sia dal server di comando sia da indirizzi di terze parti. Se il componente ricevuto è shellcode, ValleyRAT può eseguirlo attraverso process hollowing su svchost.exe; se invece riceve una DLL, la mappa direttamente nel proprio processo ed esegue le funzioni esportate. Questa modularità consente agli operatori di mantenere relativamente leggero il primo payload e aggiungere capacità solo dopo la compromissione, modello già osservato in numerosi RAT orientati allo spionaggio. Anche la recente campagna SparkRAT contro obiettivi cambogiani mostra come sideloading, process injection ed elusione delle difese siano diventati elementi ricorrenti negli ecosistemi malware con legami tecnici con attori cinesi.

Oltre 100.000 rilevamenti e il possibile legame con Silver Fox

Il dato quantitativo più rilevante riguarda la diffusione della minaccia. Kaspersky dichiara di aver registrato nel 2026 oltre 100.000 rilevamenti riferibili a ValleyRAT e ai suoi componenti associati, con più di 1.500 utenti unici interessati. La maggior parte delle infezioni osservate riguarda Cina e India. La combinazione tra geografia delle vittime, utilizzo della famiglia ValleyRAT e caratteristiche operative porta i ricercatori ad attribuire con probabilità la campagna a Silver Fox, attore già associato a questa backdoor. L’attribuzione resta tuttavia una valutazione analitica: il report non presenta un singolo indicatore che da solo permetta di identificare in modo definitivo l’operatore. Il metodo di distribuzione rappresenta però un’evoluzione significativa perché sfrutta un comportamento degli utenti normalmente considerato di secondaria importanza. Applicazioni pubblicitarie, utility poco note e software potenzialmente indesiderati vengono spesso tollerati o addirittura inseriti manualmente nelle esclusioni dei prodotti di sicurezza per evitare falsi positivi. Gli aggressori trasformano questa tolleranza in una superficie di attacco: un programma che sembra soltanto invasivo può diventare il contenitore di una backdoor completa, e la firma valida dell’applicazione ospite può ridurre ulteriormente la percezione del rischio.

Continua con:

• Silver Fox usa driver vulnerabili per spegnere antivirus ed EDR prima di installare ValleyRAT
• SilkParasite usa sette RAT in operazioni di spionaggio contro governi dell’Asia Centrale

Le esclusioni antivirus diventano un rischio operativo

La campagna ValleyRAT mostra infine perché software adware e programmi potenzialmente indesiderati non dovrebbero essere considerati automaticamente innocui. In ambienti aziendali, consentire agli utenti di installare utility non approvate o aggiungerle autonomamente alle esclusioni delle soluzioni endpoint può offrire agli aggressori un percorso privilegiato per eludere i controlli iniziali. Il rilevamento dovrebbe quindi concentrarsi non soltanto sull’hash del payload, ma sulle anomalie comportamentali: esecuzione di QN Wallpaper da percorsi inattesi, caricamento locale di libcef.dll, modifiche alle impostazioni di Defender, richieste di elevazione, iniezioni dentro svchost.exe e connessioni verso infrastrutture C2 sconosciute. La firma digitale del processo non garantisce che ciò che viene caricato al suo interno sia altrettanto affidabile, ed è proprio su questa ambiguità che la nuova catena di ValleyRAT costruisce la propria efficacia.