{"id":50771,"date":"2026-09-01T10:00:35","date_gmt":"2026-09-01T08:00:35","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50771"},"modified":"2026-09-01T10:00:35","modified_gmt":"2026-09-01T08:00:35","slug":"valleyrat-backdoor-silver-foxaeoeuessaeoeueeeecnaiou1234567890-50771","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/valleyrat-backdoor-silver-foxaeoeuessaeoeueeeecnaiou1234567890-50771\/","title":{"rendered":"ValleyRAT-Backdoor tarnt sich als signierte Adware in Antivirus-Ausnahmen"},"content":{"rendered":"

Die Bedrohungsakteure hinter der Gruppe Silver Fox<\/strong> setzen auf eine besonders perfide Tarnung: Sie verteilen die Hintert\u00fcr ValleyRAT<\/strong> (auch als Winos 4.0 bekannt) als signierte chinesische Adware-Applikation. Das Schadprogramm l\u00e4uft innerhalb eines vertrauensw\u00fcrdigen Prozesses \u2013 und genau das versuchen viele Nutzer zu erreichen, wenn sie Software in die Ausnahmeliste ihres Antivirenprogramms aufnehmen. Der russische Sicherheitsanbieter Kaspersky dokumentierte den Vorfall auf Basis eines eingesandten Installationsprogramms und warnt vor den weitreichenden Folgen.<\/p>\n

Tarnung durch DLL-Sideloading und signierte Software<\/h2>\n

Der Angriff nutzt ein echtes, aber unver\u00e4ndertes chinesisches Desktop-Wallpaper-Tool namens QN Wallpaper<\/strong>. In seiner Originalform handelt es sich um Adware, die Partner-Apps b\u00fcndelt und Werbebanner einblendet. Die Angreifer laden eine modifizierte Version des Tools herunter und verwenden dessen signierte ausf\u00fchrbare Datei QnWallpaper.exe<\/code>codecode, um eine schadhafte libcef.dll<\/code>codecode aus demselben Verzeichnis zu laden \u2013 das klassische DLL-Sideloading. Durch den legitim signierten Prozess umgeht die Hintert\u00fcr Kontrollmechanismen, die auf die Vertrauensw\u00fcrdigkeit der Signatur setzen.<\/p>\n

Bevor der Adware-Teil \u00fcberhaupt aktiv wird, deaktiviert der Installer die Windows<\/a>-Echtzeitsicherheit \u00fcber den Registrierungsschl\u00fcssel DisableAntiSpyware<\/code>codecode und f\u00fcgt das Programm in die Autostart-Eintr\u00e4ge ein. Fehlen dem angemeldeten Benutzer Administratorrechte, startet sich die Malware mit runas<\/code>codecode neu, um diese Rechte zu erlangen. Zus\u00e4tzlich kann ValleyRAT seinen eigenen Prozess als systemkritisch markieren, sodass jeder Versuch, ihn zu beenden, einen Blue Screen ausl\u00f6st.<\/p>\n

Technische Tiefe: Wie die Hintert\u00fcr operiert<\/h3>\n

Einmal installiert, \u00fcbernimmt ValleyRAT die vollst\u00e4ndige Kontrolle \u00fcber das kompromittierte System. Die Hintert\u00fcr sammelt sensible Daten wie Tastatureingaben und Zwischenablage-Inhalte, erstellt Screenshots und kann weitere schadhafte Module nachladen. Kaspersky betont, dass ValleyRAT eine hochentwickelte Backdoor ist, die weit \u00fcber einfache Adware hinausgeht. Der gesamte Infektionsablauf l\u00e4uft unter dem Radar, weil die eigentliche Adware-Funktionalit\u00e4t w\u00e4hrend des Angriffs still bleibt \u2013 die Werbeanzeigen werden nicht ausgeliefert, die Opfer bemerken zun\u00e4chst keine Auff\u00e4lligkeiten.<\/p>\n

Die Gruppe Silver Fox hat diese Technik bereits in fr\u00fcheren Kampagnen eingesetzt. Rund f\u00fcnf Wochen vor dem aktuellen Fund dokumentierte Cato Networks einen Angriff auf einen japanischen Hersteller, bei dem dieselbe libcef.dll<\/code>codecode-Datei zum Einsatz kam. Bereits Anfang 2025 tauchte der Dateiname in einem ValleyRAT-Loader auf. Kaspersky selbst verfolgte die Gruppe zuvor in einer steuerbezogenen Kampagne gegen Organisationen in Indien und Russland.<\/p>\n

Indikatoren f\u00fcr eine Kompromittierung (IoCs)<\/h2>\n

Kaspersky ver\u00f6ffentlichte konkrete Indikatoren, die Administratoren und Sicherheitsteams bei der Erkennung helfen:<\/p>\n