ValleyRAT ẩn trong adware có chữ ký số
"Security researchers reported that the Silver Fox threat actor is distributing the ValleyRAT backdoor through a signed Chinese adware application, QN Wallpaper, using DLL sideloading to execute malicious code inside a trusted process and evade antivirus exclusions. The malware can disable Windows Defender, persist via autorun, gain elevated privileges with runas, and provide full remote control including keystroke logging, clipboard theft, screenshots, and additional payload delivery; no CVE was associated with this campaign."
Rủi ro cao do backdoor toàn quyền điều khiển, vượt qua cơ chế bảo vệ bằng DLL sideloading và có thể vô hiệu hóa Defender.
Có thể gây rò rỉ dữ liệu nhạy cảm, gián đoạn máy trạm và tăng chi phí xử lý sự cố, đặc biệt nếu người dùng cài phần mềm không được kiểm soát.
Các nhà nghiên cứu an ninh ghi nhận nhóm đe dọa Silver Fox đang phát tán ValleyRAT thông qua một ứng dụng adware Trung Quốc có chữ ký số là QN Wallpaper. Mã độc được nạp bằng kỹ thuật DLL sideloading, chạy trong một tiến trình hợp lệ để né các cơ chế tin cậy và có thể vượt qua trường hợp người dùng đã thêm phần mềm vào danh sách loại trừ của antivirus.
Theo phân tích của Kaspersky, bộ cài sẽ giải nén bản sửa đổi của QN Wallpaper, khởi chạy QnWallpaper.exe và tải thư viện độc hại libcef.dll cùng thư mục. Trước đó, trình cài đặt có thể tắt Windows Defender qua khóa registry DisableAntiSpyware, thêm cơ chế autorun để duy trì tồn tại và dùng runas để xin quyền cao hơn khi cần.
Sau khi xâm nhập, ValleyRAT có thể ghi lại phím bấm, đánh cắp clipboard, chụp màn hình, triển khai payload bổ sung và điều khiển từ xa hệ thống bị nhiễm. Mã độc cũng có thể tự đánh dấu là tiến trình quan trọng, khiến việc kết thúc tiến trình có thể gây BSOD.
Khuyến nghị: hạn chế cài đặt phần mềm bên thứ ba có nguồn gốc hoặc uy tín không rõ ràng, không đưa phần mềm đáng ngờ vào danh sách loại trừ, và rà soát chính sách kiểm soát ứng dụng trên máy trạm. Do chiến dịch này không gắn với CVE, trọng tâm phòng thủ là phát hiện hành vi, kiểm soát phần mềm và giám sát IOC.