SecAtor

Исследователи Лаборатории Касперского детально разобрали известный бэкдор ValleyRAT, который маскировался и распространялся под видом рекламного ПО. Как правило, злоумышленники пытаются выдать вредоносное ПО за полезные приложения или же за нежелательные ПО, которые пользователи ищут и скачивают добровольно, например читы или активаторы пиратского ПО. Нередко атакующие используют рекламные и партнерские сети для доставки своих разработок на устройства жертв. Собственно, в в новом отчете ЛК обращает внимание на не совсем стандартный случай: известный бэкдор распространялся под видом рекламного ПО. Исследователи предполагают, что злоумышленники выбрали такой метод, поскольку рекламное приложение было подписано разработчиком. Кроме того, пользователи самостоятельно добавляют такие программы в исключения, дабы воспользоваться их полезной функциональностью. Некоторое время назад в ЛК обратился клиент с просьбой проанализировать и добавить в базу детектируемых объектов файл с MD5-хэшем c24e99f9437feacaa63766a3cde3fe3d. Изначально в ЛК идентифицировали его как рекламное ПО, однако поверхностный анализ выявил подозрительную сетевую активность образца, и было решено изучить его глубже. Оказалось, что рекламой дело не ограничивается. Более того, рекламная функциональность в образце нерабочая, зато он запускает цепочку заражения, которая доставляет в систему бэкдор ValleyRAT. Файл, которым с нами поделился клиент, оказался инсталлятором, выполняющим различные действия в зависимости от того, какой суффикс используется в его имени. Вероятнее всего, чтобы отвлечь внимание пользователя от вредоносной функциональности образца. Вне зависимости от имени файла инсталлятор устанавливает в систему модифицированное китайское ПО для управления обоями рабочего стола под названием QN Wallpaper (hxxps://qnwallpaper[.]keansoft[.]cn/) и добавляет в автозагрузку в реестре. В оригинальной версии QN Wallpaper - действительно рекламное ПО, которое доставляет на устройство партнерские приложения, а затем показывает пользователю рекламные баннеры. Однако в данном случае злоумышленники используют его для реализации DLL sideloading. В целом за 2026 год ЛК задетектила бэкдор ValleyRAT, а также связанные с ним вредоносные ПО более 100 тысяч раз, у более чем 1500 уникальных пользователей, преимущественно из Китая и Индии. Такая география атак, а также тот факт, что в них применяется ValleyRAT, может указывать на то, что за кампанией стоит группировка Silver Fox - известный оператор этого семейства вредоносного ПО. Она атакует организации в разных странах с целью кибершпионажа и также обогащения. Этот кейс - своего рода яркий пример того, что рекламные приложения и партнерские сети могут оказаться куда опаснее, чем кажется. ValleyRAT представляет собой сложный бэкдор, способный собирать чувствительные данные, такие как нажатия клавиш и содержимое буфера обмена, делать скриншоты и доставлять на устройство дополнительные вредоносные модули. Злоумышленники воспользовались известным рекламным приложением, чтобы выполнить бэкдор от имени подписанного процесса, усложняя таким образом обнаружение атаки. Подробный технический разбор и IOCs - в отчете.