LONDON (IT BOLTWISE) – Eine neue Beobachtung zum ValleyRAT-Backdoor zeigt, wie sich Schadsoftware als signierte Adware tarnt. Der Installer bündelt sich um ein legitimes QN-Wallpaper-Tool und nutzt DLL Sideloading, sodass der Code im Kontext eines vertrauenswürdigen, signierten Prozesses läuft. Zusätzlich deaktiviert das Setup den Windows-Defender, trägt sich in die Autostart-Einträge ein und eskaliert bei fehlenden Administratorrechten erneut über runas. Für den Schutz ist vor allem entscheidend, dass Nutzer fragwürdige Software weder installieren noch in AV-Exclusion-Listen aufnehmen.
ValleyRAT wird in der Sicherheitsanalyse nicht als „klassischer“ Download aus verdächtigen Quellen beschrieben, sondern als mehrstufiger Tarnmechanismus, der gezielt auf eine typische Nutzerpraxis zielt: das Hinzufügen von Programmen zu Antivirus-Exclusions. Der Bedrohungsakteur wird dabei als Silver Fox geführt. Laut der Beschreibung des Angriffs startet ein signiertes Adware-Programm, das in Wahrheit den Backdoor-Betrieb übernimmt und dem Operator „vollständige Kontrolle“ über die kompromittierten Systeme ermöglicht. Damit ist der Kern des Problems weniger die reine Malware selbst, sondern die Kombination aus Benutzerinteraktion (Exclusion-Entscheidung), Signaturvertrauen und technischer Prozessmaskierung.
Im Zentrum der Umgehung steht eine Manipulation rund um QN Wallpaper, ein echtes chinesisches Desktop-Wallpaper-Tool. In der unmodifizierten Form bündelt QN Wallpaper Partner-Apps und zeigt Werbebanner an; diese Adware-Natur macht die Oberfläche für Anwender plausibel. Der Installer entpackt jedoch eine modifizierte QN-Wallpaper-Distribution und startet deren signierte ausführbare Datei „QnWallpaper.exe“. Anschließend lädt der Prozess eine bösartige Bibliothek nach, indem im selben Verzeichnis eine vorbereitete „libcef.dll“ liegt. Genau dieses DLL Sideloading ist der Trick: Weil die bösartige Komponente in einer legitim signierten Prozessumgebung ausgeführt wird, greifen viele Signatur- und Trust-Checks weniger zuverlässig als bei direkt unsigniertem Code.
Bevor die Adware-Komponente aktiv wird, greift der Installer weiter in die Abwehrlogik des Systems ein. Er schaltet Windows Defender über den Registry-Wert „DisableAntiSpyware“ aus und ergänzt das Programm in den Autostart-Einträgen, sodass sich die Infektion nach einem Neustart erneut meldet. Relevanz hat dabei auch die Rechteebene: Wenn der angemeldete Nutzer keine Administratorrechte besitzt, startet sich die Schadsoftware erneut über „runas“, um die höheren Berechtigungen zu erhalten. Zusätzlich versucht ValleyRAT die Prozessbeendigung zu erschweren, indem es sich als „kritisch“ markiert; ein Versuch, diesen Prozess zu beenden, soll dann einen Blue Screen of Death auslösen. Solche Mechanismen sind besonders gefährlich, weil sie Support- und Incident-Response-Schritte zeitlich verengen und die Bedienbarkeit typischer Bereinigungsvorgänge reduzieren.
Auf der Ebene der Payload wird ValleyRAT als Backdoor mit breit nutzbarem Funktionsumfang beschrieben: Kaspersky nennt als konkrete Beispiele das Sammeln sensibler Daten wie Tastatureingaben und Clipboard-Inhalte, außerdem Screenshots und die nachgelagerte Bereitstellung weiterer bösartiger Module. In der selben Analyse wird ValleyRAT auch unter „Winos 4.0“ geführt, was auf eine modulare oder iterativ weiterentwickelte Kampagnenhistorie hindeutet. Technisch ist außerdem beschrieben, dass die Kette „vor“ der eigentlichen Backend-Aktion mit einem scheinbar harmlosen Anzeigefluss arbeitet: Installer laden zunächst nur den präsentierten Rahmen, während die eigentliche Infektionskette im Hintergrund abläuft. Genau diese Lücke zwischen sichtbarer Werbeoberfläche und realer Schadsoftware-Logik macht die Angriffsform für Endanwender schwerer greifbar.
Konkrete Indikatoren (IoCs) umfassen laut der Analyse einen Satz von Hashes sowie Netzwerkziele. Genannt werden ein MD5 für den Installer „c24e99f9437feacaa63766a3cde3fe3d“, ein MD5 für die schädliche „libcef.dll“ mit „07ddbbe2c71c45577a7a4fbcdba0df91“ sowie ein MD5 für weitere Komponenten mit „8a626d844943da3456b044f38deae3a2“. Auf der Kommando- und Kontrollseite werden IP-Adressen und Ports genannt: „103.45.66.18“ auf den Ports 441, 442 und 443 sowie „192.253.225.173“ auf den Ports 6666 und 8888. In der Kommunikationskette sollen außerdem Domänen wie „qnwallpaper[.]keansoft[.]cn“ (Downloadseite der missbrauchten Adware) und „meeting[.]tencent[.]com“ als legitime Seite für eine Ablenkung („decoy“) dienen. Für SOC-Teams und Endpoint-Forensik ist das besonders relevant, weil es nicht nur um Erkennung von Dateien geht, sondern auch um das Verstehen, welche Domains im Nutzerkontext geöffnet werden.
Im operativen Zusammenhang wird die Taktik als Teil eines wiederkehrenden Werkzeugkastens eingeordnet. Der Analyse zufolge umfasst die Verwendbarkeit des DLL-Sideloading-Ansatzes bereits frühere Beobachtungen des gleichen Musters; zudem wird in diesem Kontext ein ähnlicher libcef.dll-Filename in früheren ValleyRAT-Loaders erwähnt. Wichtig ist auch der Belastungsrahmen: Für 2026 nennt der Anbieter mehr als „100.000“ Detektionen von ValleyRAT und zugehörigen Varianten, die auf „über 1.500“ eindeutige Nutzer deuten, überwiegend aus China und Indien. Die Zahl bezieht sich dabei auf das über das Jahr verteilte ValleyRAT-Geschehen und nicht zwingend isoliert auf diese konkrete Route über den QN-Wallpaper-Disguise. Für Unternehmen ist der praktische Gegenpunkt klar: Richtlinien sollten definieren, welche Drittsoftware auf Arbeitsgeräten zulässig ist, und die Awareness-Arbeit muss die Besonderheit adressieren, dass Exclusion-Listen nicht wie „Ausnahmegenehmigungen“ behandelt werden dürfen, wenn Softwarebündel aus dem Umfeld von Adware stammen.
Für individuelle Nutzer lautet die Empfehlung ebenfalls eindeutig: keine fragwürdige Software installieren und besonders vermeiden, solche Programme in Exclusions von Sicherheitslösungen aufzunehmen. Die technische Logik dahinter ist nachvollziehbar: Wenn ein Endpoint Security Tool eine Datei oder einen Prozess aufgrund einer Nutzerentscheidung dauerhaft „ignorieren“ soll, verliert selbst eine Signatur-orientierte Strategie ihren Schutzhebel. Genau dieses Zusammenspiel aus sozialer Angreifbarkeit und technischer Umgehung macht ValleyRAT in der beschriebenen Form so wirksam. Für die nächsten Verteidigungsmaßnahmen lohnt es sich daher, Exclusion-Prozesse organisatorisch zu härten, Upload- und Installationsquellen stärker zu prüfen und Endpoint-Regeln so auszulegen, dass Trust in signierte Prozesse nicht automatisch bedeutet, dass geladene DLLs oder lokale Verzeichnisartefakte als unkritisch gelten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ValleyRAT: Signed Adware tarnt Backdoor und umgeht AV-Exclusions per DLL Sideloading" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ValleyRAT: Signed Adware tarnt Backdoor und umgeht AV-Exclusions per DLL Sideloading" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ValleyRAT: Signed Adware tarnt Backdoor und umgeht AV-Exclusions per DLL Sideloading« bei Google Deutschland suchen, bei Bing oder Google News!