LONDON (IT BOLTWISE) – Eine nach Angaben der Analysefirma Kaspersky beobachtete Gruppe nutzt eine chinesische Adware als Tarnung, um ValleyRAT als Backdoor zu verteilen. Der Schadcode startet dabei über einen signierten Prozess und nutzt DLL-Sideloading innerhalb eines legitim wirkenden Wallpaper-Installationspfads. Vor der Aktivierung deaktiviert der Installer Windows Defender und legt Autostart-Einträge an, häufig kombiniert mit Privileg-Eskalation via „runas“. Zusätzlich markiert ValleyRAT seinen Prozess als „kritisch“, sodass ein erzwungenes Beenden einen Bluescreen auslösen kann.
Bei der neuen ValleyRAT-Kampagne fällt vor allem die Kombination aus Tarnung und Ausführungstechnik auf: Laut Kaspersky wird der Backdoor-Client als „signierte“ chinesische Adware-Anwendung ausgegeben und so in einem als vertrauenswürdig wahrgenommenen Prozesskontext gestartet. Damit verschiebt sich die Hürde für viele Zielsysteme von der Erkennung der eigentlichen Binärdatei hin zu der Frage, ob Endpunkte die Einbettung in einen legitimen Ablauf überhaupt prüfen. Für Sicherheitsverantwortliche ist genau das der Punkt, der das Risiko erhöht: Nutzer installieren die vermeintliche Zusatzsoftware eher, wenn sie nicht sofort als Schadcode markiert wird, und sie könnten die Anwendung sogar in Antivirus-Ausnahmen aufnehmen.
Der Einstieg erfolgt über eine gebündelte Komponente mit Bezug zur legitimen Desktop-Wallpaper-Software „QN Wallpaper“. In der Darstellung der Analyse wird ValleyRAT dabei unter der Bezeichnung „Winos 4.0“ geführt und nach der Installation vollständig unter Kontrolle des Angreifers bereitgestellt: Der Operator erhält die Möglichkeit, sensible Daten auszulesen, Screenshots zu erfassen und weitere bösartige Module nachzuladen. Technisch setzt die Kampagne auf DLL sideloading: Eine modifizierte Kopie des Wallpaper-Programms entpackt der Installer so, dass ein signiertes Executable lädt, während eine manipulierte DLL im gleichen Verzeichnis bereitliegt. Windows findet die DLL dabei über Suchreihenfolgen im jeweiligen Laufzeitkontext, wodurch die Backdoor trotz Signatur- und Vertrauensindikatoren in „scheinbar sauberem“ Gewand läuft.
Vor der eigentlichen Aktivierung greift der Installer laut den Befunden außerdem direkt in die Schutz- und Persistenzschicht ein. Er deaktiviert Windows Defender und trägt die Anwendung in Autorun-Einträge ein, sodass der Zugriff nach einem Neustart fortbesteht. Reicht das Benutzerkonto nicht für administrative Aktionen, nutzt die Schadsoftware „runas“, um sich die nötigen Rechte zu verschaffen. Diese Privileg-Eskalation ist gerade deshalb kritisch, weil viele Umgebungen zwar aus Nutzersicht restriktiv sind, aber dennoch standardmäßig Wege für erhöhte Rechte existieren, etwa über Dialoge oder Berechtigungsketten. Die Folge ist ein typischer Pfad von „scheinbar harmloser Desktop-Software“ zu vollständiger Systemkontrolle, ohne dass die eigentliche Backdoor zwingend in den ersten Momenten sichtbar werden muss.
Auch die Robustheit gegen Gegenmaßnahmen ist in den Analysebeschreibungen ein wiederkehrendes Muster: ValleyRAT markiert seinen Prozess als „kritisch“. Wird der Prozess versucht zu beenden oder zu stoppen, triggert das System nach den Angaben einen Blue Screen of Death. Solche Mechanismen wirken nicht wie „Zerstörung“ im klassischen Sinn, sondern wie eine Form von Anti-Remediation: Sie erhöhen die Hemmschwelle bei Incident-Response-Abläufen, weil ein zu aggressives Stoppen den Betrieb zusätzlich destabilisieren kann. Das führt in der Praxis zu einer Abwägung zwischen Forensik und Eindämmung, wobei EDR-Teams besonders auf Trigger wie Autoruns, verdächtige DLL-Lasten aus Programmverzeichnissen und ungewöhnliche Signatur-/Vertrauensindikatoren achten müssen.
Zur Einordnung ordnet Kaspersky die Aktivitäten in den Kontext eines Angreiferclusters ein, der bereits mit ähnlichen DLL-sideloading-basierten Techniken aufgefallen war. Für die Identifikation als „Silver Fox“ formuliert die Analyse dabei keine endgültige Zuschreibung als Tatsache, sondern ordnet den Befund als wahrscheinliches Vorgehen zu; die Zuordnung soll demnach auf den beobachteten Überschneidungen der Taktiken, Techniken und Prozeduren beruhen. Damit bleibt für Betreiber vor allem die übertragbare Lehre: Entscheidend ist weniger die exakte Gruppenbezeichnung, sondern die Tatsache, dass signierte Hüllen und legitime Desktop-Anwendungen als Delivery-Mechanismus dienen können. Wer Endpoint-Policies nur an Dateinamen oder einzelnen Hashes ausrichtet, läuft Gefahr, die eigentliche Ausführungskette zu übersehen.
Für Unternehmen ergibt sich daraus eine Reihe von Prüfwegen, die sich im Betrieb relativ schnell operationalisieren lassen. Erstens sollten Security-Teams sicherstellen, dass die Schutzlogik nicht bei „signiert“ stehen bleibt, sondern DLL- und Ladepfade prozessbezogen überwacht, insbesondere bei Anwendungen, die aus dem Benutzerkontext installiert werden. Zweitens lohnt sich ein Review von Autorun-Regeln und der Wahrscheinlichkeit, dass Nutzer selbständig zusätzliche Software einspielen und damit Ausnahmen erweitern. Drittens müssen Eskalationspfade wie „runas“ im Zusammenhang mit Installer-Abläufen bewertet werden, weil sie den Abstand zwischen Standardnutzer und Admin-Rolle verkürzen können. Wenn diese Punkte zusammenkommen, wird aus einer einzelnen Kampagnenbeobachtung ein systematischer Abgleich gegen ein ganzes Klasse von Angriffen: Tarnung über legitime Tools, Ausführung über vertrauensähnliche Prozesse und Persistenz über Autostart – ergänzt um Mechanismen, die Incident-Response absichtlich erschweren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Silver Fox verteilt ValleyRAT per chinesischer Adware – über DLL-Sideloading" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Silver Fox verteilt ValleyRAT per chinesischer Adware – über DLL-Sideloading" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Silver Fox verteilt ValleyRAT per chinesischer Adware – über DLL-Sideloading« bei Google Deutschland suchen, bei Bing oder Google News!