veilletech.frCe qui se passe
L'acteur Silver Fox distribue la porte dérobée ValleyRAT (aussi suivie sous le nom Winos 4.0) déguisée en application chinoise signée. Le support est QN Wallpaper, un utilitaire de fond d'écran authentique qui, dans sa version d'origine, est déjà un adware : bannières publicitaires et applications partenaires embarquées. L'analyse est de Kaspersky, à partir d'un installeur soumis par un client.
Le détail qui fait la campagne : ce type de logiciel finit souvent ajouté aux exclusions de l'antivirus par des utilisateurs excédés par les alertes. C'est précisément l'angle mort visé.
Le mécanisme
Chargement latéral de DLL. L'installeur déballe une copie modifiée de QN Wallpaper
et lance son exécutable signé QnWallpaper.exe, qui charge un libcef.dll
malveillant déposé dans le même dossier. La bibliothèque s'exécute à
l'intérieur d'un processus légitimement signé, ce qui neutralise les contrôles
qui font confiance à la signature.
Avant même le démarrage de la partie adware, l'installeur désactive Windows
Defender via la clé de registre DisableAntiSpyware et s'inscrit en démarrage
automatique. Si l'utilisateur n'est pas administrateur, le malware se relance avec
runas pour le devenir. ValleyRAT peut aussi marquer son propre processus comme
critique : toute tentative de l'arrêter provoque un écran bleu.
Une fois en place, l'opérateur dispose du contrôle complet : frappes clavier, presse-papiers, captures d'écran, modules additionnels livrés à la demande.
Le nom libcef.dll figurait déjà dans un chargeur ValleyRAT de 2025, et Cato
Networks documentait cinq semaines plus tôt l'abus d'applications légitimes pour
du sideloading par le même groupe, contre un industriel japonais. La consigne tient
en une phrase : une exclusion antivirus posée sur un logiciel douteux couvre tout
ce qui s'exécute dans son dossier, y compris ce qui y sera déposé plus tard.
Source : The Hacker News — ValleyRAT Backdoor Hides in Signed Adware That Users Add to Antivirus Exclusions