LONDON (IT BOLTWISE) – Eine neue Kampagne nutzt Adware als Tarnschicht, um die Windows-Backdoor ValleyRAT zu installieren. Der Installer koppelt sein Verhalten an den Dateinamen und startet dabei scheinbar harmlose Aktionen wie das Öffnen von Collab- oder Browser-Varianten. Entscheidend ist jedoch der versteckte Weg über eine manipulierte QN-Wallpaper-Komponente, die über DLL-Sideloading ausführbaren Code nachlädt. Laut Angaben aus dem Security-Umfeld wurden im Verlauf von 2026 über 100.000 ValleyRAT-Erkennungen bei mehr als 1.500 Nutzern registriert.
Die Verteilung von ValleyRAT zeigt, wie schnell Angreifer aus einem „normal wirkenden“ Werbe- oder Komfortprogramm eine Einfallstür für Spionage und Fernzugriff machen können. Laut den beschriebenen Beobachtungen startet der Prozess mit einem Installer, dessen Dateiname kryptische Muster wie „FS_SETUP_DD_173.exe“ oder „FS_SETUP_GG_173.exe“ trägt. Unabhängig davon, ob im Vordergrund eine vermeintliche Kollaborations-App, ein Browser oder eine Meeting-Download-Seite erscheint, landet am Ende stets die gleiche strategische Komponente: eine manipulierte Wallpaper-Umgebung, die als Startpunkt für die eigentliche Backdoor dient.
Technisch stützt sich der Angriff auf einen typischen Windows-Mechanismus, der in vielen Benutzerszenarien unbemerkt bleibt: DLL-Sideloading. Dabei lädt eine legitime Anwendung aus ihrem eigenen Verzeichnis eine Bibliothek, nach der das Programm beim Start sucht. Im beschriebenen Fall sollen „QnWallpaper.exe“ und „QnwPlayer.exe“ eine „libcef.dll“ laden, die in Wahrheit vom Angreifer bereitgestellt wird. Diese „Rogue“-Bibliothek ermöglicht dann, dass Angreifer-Code parallel zu einer Anwendung läuft, die für den Benutzer wie eine vertrauenswürdige Produktkomponente wirkt. Genau an diesem Punkt wird aus einer hübschen Decoy-Ablenkung ein kontrollierbarer Ausführungsweg.
Damit ValleyRAT nicht nur kurzzeitig aktiv bleibt, wird die Persistenz über mehrere Ebenen geplant. Nach dem Start soll die Library „QnWallpaper.exe“ nach einem Neustart erneut in Gang setzen, indem eine Dateizuordnung angepasst und ein passender Eintrag im Startup-Ordner abgelegt wird. Zusätzlich prüfen die Komponenten, ob der betroffene Rechner Administratorrechte besitzt, und versuchen andernfalls, sich mit erhöhten Rechten erneut zu starten. Ein weiterer Baustein im Setup zielt darauf, die Verteidigung gegen den Missbrauch zu schwächen: Es wird versucht, Microsoft Defender über einen Registry-Ansatz zu beeinflussen, indem ein Schlüssel wie „DisableAntiSpyware“ gesetzt wird. In der Praxis erhöht das die Wahrscheinlichkeit, dass die Aktivität länger unentdeckt bleibt – insbesondere dann, wenn die Nutzeroberfläche den Eindruck vermittelt, es handele sich um harmlose „Wallpaper“- oder Player-Abläufe.
Die Backdoor selbst ist auf Aufklärung ausgelegt und kombiniert Überwachungsfunktionen mit Werkzeugsteuerung. ValleyRAT zeichnet Tastatureingaben auf, übernimmt Inhalte aus der Zwischenablage und beobachtet das jeweils aktive Fenster, um Kontext zu gewinnen. Ergänzend werden Host- und Systemdetails gesammelt, darunter Windows-Version, verfügbare Plattenspeicherangaben, Grafikhardware, lokale IP-Adressen, Spracheinstellungen und auch Leerlaufzeit. Operativ lässt sich das weiter ausbauen: Die Angreifer können Screenshots anfordern, Protokolle bereinigen, Serveradressen aktualisieren und zusätzliche Module nachladen. Interessant ist dabei auch die Persistenzlogik auf Prozessebene: Die Beschreibung nennt die Möglichkeit, in „svchost“ Code einzuschleusen, um sich erneut zu starten, was die Backdoor näher an klassische Malwaremuster heranführt, die möglichst lange „unauffällig“ im System bleiben wollen.
Für die Verteidigung ist besonders kritisch, dass ValleyRAT nicht nur Daten sammelt, sondern auch das Incident-Response-Fenster aktiv erschwert. Je nach Konfiguration kann die Backdoor Sicherheits- und Traffic-Analyse-Tools durchsuchen, ihren eigenen Prozess als „kritisch“ markieren und bei einem gewaltsamen Beenden so einen Absturz auslösen. Daneben wird eine Art Selbstheilung beschrieben: Nach einem ungefangenen Fehler kann die Backdoor automatisch zurückkommen. Zusätzlich sind Payload und Konfiguration so verarbeitet, dass klassische statische Prüfungen erschwert werden sollen; die Konfiguration wird zudem rückwärts geschrieben, um einfache Textsuche zu sabotieren. Ein weiterer Punkt ist die Modularität: Module können vom Kontrollserver oder von einer weiteren attacker-gesteuerten Adresse heruntergeladen und ausgeführt werden, entweder als Bibliotheken oder über Techniken wie Process Hollowing, bei denen Code in einen legitimen Prozess „hineingesetzt“ wird.
Auf der operativen Ebene deuten die Größenordnungen auf eine Kampagne mit wiederholten Infektionen hin. Für 2026 werden mehr als 100.000 Erkennungen von ValleyRAT und zugehöriger Schadsoftware genannt, verteilt auf über 1.500 eindeutige Nutzer, mit dem Schwerpunkt auf China und Indien. Wie aus den beschriebenen Auswertungen hervorgeht, wird „Silver Fox“ mutmaßlich als Verantwortlicher eingeschätzt; diese Einordnung basiert dabei auf den Forscherangaben, nicht auf einem gerichtsfesten Beleg. Unabhängig davon, welche Attribution am Ende bestätigt wird, bleibt die technische Story klar: Ein Installer tarnte sich über Adware-typische Nutzerpfade und nutzte gleichzeitig eine robuste Windows-Startkette, um Schadcode zuverlässig zu platzieren und später zu steuern.
Für Organisationen und Security-Teams ergeben sich daraus relativ konkrete Prüf- und Abwehrschritte. Sinnvoll ist, Autorun-Einträge und alle ungewöhnlichen QN-Wallpaper-Installationen zu verifizieren, außerdem die Existenz von verdächtigen „libcef.dll“-Dateien direkt neben genannten Anwendungen. Ebenso sollten ausgehende Verbindungen auf Muster geprüft werden, die zur Kontrolle und zum Modul-Download passen. In der Incident-Praxis empfiehlt sich ein Vorgehen mit sauberer Beweissicherung: betroffene Endpunkte isolieren, bevor man „säubert“, dann Hinweise sichern, Credentials zurücksetzen, sobald ein Zugriff wahrscheinlich ist, und schließlich im Netzwerk nach weiteren Aktivitäten suchen, um nicht nur die erste Infektion, sondern auch die Ausbreitung zu adressieren. Auch für Endnutzer gilt: Klassische Hygiene bleibt entscheidend, etwa populäre Software nur aus vertrauenswürdigen Quellen zu beziehen und keinerlei fragwürdige Downloads auf Arbeitssystemen zu installieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ValleyRAT: Windows-Backdoor per Adware und QN Wallpaper-Umweg" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ValleyRAT: Windows-Backdoor per Adware und QN Wallpaper-Umweg" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ValleyRAT: Windows-Backdoor per Adware und QN Wallpaper-Umweg« bei Google Deutschland suchen, bei Bing oder Google News!