LONDON (IT BOLTWISE) – ValleyRAT tarnt sich als signierte Adware und nutzt eine legitime Windows-Signatur, um Sicherheitskontrollen zu umgehen. Der Installer missbraucht dazu QN Wallpaper als Einstieg und lädt per DLL sideloading eine manipulierte libcef.dll nach. Zusätzlich deaktiviert die Schadsoftware Windows Defender, setzt Autorun-Einträge und kann sich ohne Adminrechte per runas neu starten. Betreiber gewinnen damit vollständige Kontrolle über das Gerät, inklusive Datendiebstahl und Screenshots.
Wer auf Endpoint-Sicherheit setzt, kennt das Muster: Je „vertrauenswürdiger“ ein Setup wirkt, desto seltener wird es hinterfragt. Genau hier setzt ValleyRAT an, eine Backdoor, die unter dem Namen Winos 4.0 geführt wird und in einem beobachteten Angriffsablauf als signierte chinesische Adware getarnt war. Statt offensichtlicher Schadcode-Ausführung nutzt der Installer eine geprüfte Vertrauenskette über die digitale Signatur, sodass das System eher den signierten Einstieg akzeptiert als den eigentlichen Funktionsumfang der manipulierten Komponenten.
Als Tarnplattform dient dabei QN Wallpaper, ein echtes Desktop-Wallpaper-Tool aus China. In unverändertem Zustand funktioniert es als Adware und bündelt Partner-Apps; im vorliegenden Missbrauch wurde die Anwendung jedoch so angepasst, dass sie nicht nur Banner einblendet, sondern auch das eigentliche Payload-Ziel erfüllt. Nach der Installation übergibt ValleyRAT dem Angreifer volle Kontrolle über die betroffene Maschine. Technisch geht die Kampagne dabei über klassische „Dropper“-Logik hinaus, denn der signierte Prozess wird gezielt genutzt, um später geladene Module unter dem Schutz vertrauenswürdiger Prüflogik auszuführen.
Der entscheidende Hebel ist DLL sideloading. Der Installer entpackt eine modifizierte Kopie von QN Wallpaper und startet dessen signierte Executable „QnWallpaper.exe“. Diese lädt anschließend eine in derselben Verzeichnisstruktur abgelegte, bösartige „libcef.dll“ nach. Weil die Ausführung damit innerhalb eines legitim signierten Prozesses stattfindet, werden Kontrollen, die an die Signatur binden, weniger wirksam; der Schadcode kann so den vorgesehenen Vertrauenspfad nutzen. Damit verschiebt sich das Risiko für Organisationen vom „Datei ist verdächtig“-Ansatz hin zu „Datei ist bekannt und signiert, aber das Laden externer Komponenten ist manipuliert“.
Vor dem eigentlichen Start der Adware-kompatiblen Oberfläche nimmt der Installer zudem Systemschutzfunktionen ins Visier. Über den Registry-Schlüssel „DisableAntiSpyware“ wird Windows Defender abgeschaltet, anschließend wird die Software in die Autorun-Einträge eingetragen. Fehlt dem eingeloggten Benutzer die Administratorrolle, löst das Programm eine erneute Ausführung per „runas“ aus, um die nötigen Rechte nachzuziehen. Zusätzlich gibt es eine Persistenz- und Durchsetzungslogik, die das Beenden erschweren soll: ValleyRAT kann seinen eigenen Prozess als „critical“ markieren, wodurch ein Beendigungsversuch einen Blue Screen of Death auslösen kann. Für Security-Teams bedeutet das vor allem: Selbst ein „Stoppen“ durch Nutzer oder Standard-Tools ist nicht zuverlässig, wenn der Prozessstatus bewusst gegen ein kontrolliertes Beenden arbeitet.
Für die Suche nach kompromittierten Systemen wurden konkrete Indicators of Compromise beschrieben. Dazu zählen MD5-Hashes für den eingesendeten Installer und für die schadhafte „libcef.dll“, außerdem IP-basierte Command-and-Control-Ziele: etwa 103.45.66.18 auf den Ports 441, 442 und 443 sowie 192.253.225.173 auf den Ports 6666 und 8888. In der Infektionskette tauchen außerdem Domänen auf, darunter „qnwallpaper[.]keansoft[.]cn“ als Download-Pfad der missbrauchten Adware und „meeting[.]tencent[.]com“ als legitimer Seiten-Decoy, der während des Ablaufs geöffnet wird. Diese Mischung aus zweckentfremdeten echten Marken-URLs und technisch konsistenter Modulnachladung ist typisch für Kampagnen, die Nutzerhandlungen ausnutzen: Der Anwender sieht im Browser keine „klassische“ Warnung, während lokal die schädliche Komponente bereits im richtigen Prozesskontext läuft.
Auch die Einordnung in einen größeren Werkzeugbau ist Teil des Berichts. DLL sideloading über signierte, legitime Software wird als etablierter Bestandteil des Vorgehens beschrieben, und es wird darauf verwiesen, dass ähnliche Muster bereits in früheren ValleyRAT-Loader-Varianten auftauchten. Ergänzend wird eine mögliche Zuordnung zu „Silver Fox“ als wahrscheinlich genannt, unter anderem anhand der geographischen Verteilung der beobachteten Aktivitäten und der konkreten Payload-Charakteristik. Bemerkenswert ist außerdem, dass die Analyse den Weg über die Adware-Schiene nicht mit einer exakten Opferzahl für genau diese Route hinterlegt, sondern den Verlauf der gesamten beobachteten ValleyRAT-Aktivität über 2026 hinweg betrachtet: Insgesamt wurden mehr als 100.000 Detektionen und über 1.500 eindeutige Nutzer genannt, wobei ein Schwerpunkt bei China und Indien lag.
Für Unternehmen ergibt sich daraus ein klarer operativer Auftrag, der über „IOCs eintragen“ hinausgeht. Wenn Mitarbeitende Drittsoftware auf Arbeitsgeräten installieren dürfen, steigen die Chancen, dass ein signiertes Tarnobjekt trotz technischer Erkennung in eine Ausnahmebehandlung rutscht. Genau auf diese Nutzer-Entscheidung zielt die Empfehlung: Solche Software zu vermeiden und vor allem niemals Software mit fragwürdigem Ruf in Sicherheitslösungen auszuschließen, weil AV-Ausschlüsse in diesem Muster zu einer Art Freifahrtschein für die eigentliche Backdoor-Funktion werden. Zusätzlich empfiehlt sich, klare Richtlinien für die Freigabe von Drittanbietern und Installationsquellen zu definieren sowie das Bewusstsein im Betrieb zu schärfen – denn die entscheidende Angriffsoberfläche ist in diesem Fall nicht nur die Technik, sondern die Kombination aus Technik und Prozesslücken im Alltag.
Für einzelne Nutzer bleibt die gleiche Faustregel praktisch: Nicht jedes „signiert“ ist automatisch „harmlos“, wenn die Logik nach dem Start des signierten Prozesses bewusst auf manipulierte Bibliotheken setzt. Wer Anwendungen nur wegen ihrer sichtbaren Vertrauensmerkmale installiert oder sie sogar in Sicherheitsausnahmen aufnimmt, erhöht die Angriffsfläche erheblich. ValleyRAT zeigt damit ein wiederkehrendes Motiv aktueller Malware-Kampagnen: Aus scheinbar legitimen Komponenten wird ein Scharnier, das bekannte Sicherheitsmechanismen aushebelt, statt sie direkt zu überrennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ValleyRAT: Signierte Adware missbraucht AV-Ausschlüsse und startet als Backdoor" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ValleyRAT: Signierte Adware missbraucht AV-Ausschlüsse und startet als Backdoor" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ValleyRAT: Signierte Adware missbraucht AV-Ausschlüsse und startet als Backdoor« bei Google Deutschland suchen, bei Bing oder Google News!