ValleyRAT se Esconde em Adware Chinês QN Wallpaper, Alerta Kaspersky

A mais recente tática do ValleyRAT, identificada pela Kaspersky, destaca a sofisticação dos cibercriminosos. Eles escondem este backdoor em uma versão modificada do adware QN Wallpaper, abusando de sua assinatura digital legítima. A técnica é conhecida como DLL sideloading: uma libcef.dll comprometida é injetada no processo QnWallpaper.exe, permitindo que o RAT opere sob a camuflagem de um programa confiável.

Este backdoor não é um malware qualquer. O ValleyRAT tem uma gama de funções para exfiltração de dados e controle do sistema. Ele coleta informações detalhadas do sistema, intercepta digitações e conteúdo da área de transferência, monitora janelas ativas e tira capturas de tela. Mais alarmante, ele pode reiniciar a máquina, limpar logs, alterar endereços de C2 e baixar módulos adicionais, inclusive usando Process Hollowing para injetar código em processos svchost. Configurado como processo crítico, derrubá-lo pode até causar uma BSOD, forçando o sistema a parar.

Esta nova operação do ValleyRAT mostra uma evolução clara nas táticas de evasão, que o CEVIU News acompanha há algum tempo. A campanha de 4 de setembro de 2026, com o QN Wallpaper, usa a técnica de DLL sideloading sob um processo assinado. Isso não é uma novidade isolada: em 19 de junho de 2026, noticiamos como o Dropping Elephant explorava o binário legítimo Fondue.exe para side-loading. Em 14 de abril de 2026, também mostramos como o PlugX RAT era entregue junto a um aplicativo legítimo Claude, em um site falso.

A evolução aqui é a combinação desses elementos: usar um adware conhecido (QN Wallpaper) com uma assinatura digital válida como vetor para um backdoor complexo como o ValleyRAT. Os criminosos transformaram o que era apenas um software irritante em uma porta de entrada para vigilância e controle completo, aproveitando a confiança em um executável assinado para se camuflar ainda mais profundamente nos sistemas.

A tática do ValleyRAT é um alerta crítico para a segurança corporativa. O uso de DLL sideloading em um processo com assinatura digital legítima permite que o malware burle defesas tradicionais baseadas em reputação e assinaturas. Isso significa que softwares considerados