QN Wallpaper, un utilitaire chinois de fonds d’écran, cache la porte dérobée ValleyRAT dans son installeur depuis le mois d’août. Plus de 100 000 détections et 1 500 victimes uniques ont été recensées en Chine et en Inde. Les pirates exploitent l’ajout manuel du logiciel aux exclusions de leur antivirus.
ValleyRAT circule aussi sous le nom Winos 4.0. Le groupe Silver Fox exploite cette porte dérobée à distance depuis plusieurs mois, à travers des logiciels détournés. Cette fois, les pirates dissimulent le malware dans QN Wallpaper, un gestionnaire de fonds d’écran de l’éditeur chinois Keansoft. Dans sa version d’origine, le logiciel installe des applications partenaires et affiche des bandeaux publicitaires.
Là où la malice se situe, c'est qu'une partie des utilisateurs ajoute alors le programme aux listes d’exclusion de leur antivirus, pour continuer à profiter de ses fonctions sans alerte. Les pirates utilisent cette tolérance acquise et glissent une bibliothèque malveillante, libcef.dll, aux côtés de l’exécutable authentique et signé QnWallpaper.exe.
Au lancement du programme, Windows charge cette bibliothèque frauduleuse à la place de la légitime. C'est le DLL sideloading. La technique détourne l’ordre dans lequel Windows recherche ses bibliothèques au démarrage d’un programme.
Le programme coupe l’antivirus et verrouille son propre processus
L’installeur de QN Wallpaper modifie la clé de registre DisableAntiSpyware pour éteindre Windows Defender dès l’installation, puis relance l’exécution avec la commande runas sur les postes sans droits administrateur. Windows relance aussi le programme à chaque démarrage, grâce à une entrée ajoutée dans ses programmes de démarrage automatique. Le fichier d’installation, au nom générique FS_SETUP suivi d’un numéro de version, installe également sur la machine, selon les versions, l’application DingTalk ou le navigateur Chrome, deux programmes qui n'ont pas de lien avec l'infection, pour masquer l’activité malveillante aux yeux de la victime.
Une fois lancé, ValleyRAT marque son propre processus comme critique pour le système. Si l’utilisateur ferme ce processus, Windows affiche un écran bleu, et la plupart des victimes renoncent alors à couper le programme à la main. La porte dérobée enregistre les frappes du clavier, copie le contenu du presse-papiers, capture l’écran de la victime et télécharge des modules supplémentaires depuis des serveurs distants.
DAEMON Tools avait aussi subi ce processus
Un précédent existe, et on vous avait parlé de la porte dérobée QUIC RAT qui a touché DAEMON Tools Lite, un utilitaire de montage d’images disque de l’éditeur AVB Disc Soft à travers plusieurs versions de l’installeur téléchargées depuis le site officiel et signées par l'éditeur légitime. En quelques semaines, plusieurs milliers de tentatives d’infection dans une centaine de pays, dont une douzaine d’organisations touchées plus directement en Russie, au Belarus et en Thaïlande ont été recensées.
Le groupe Silver Fox, repéré derrière plusieurs campagnes ValleyRAT, opère cette fois derrière QN Wallpaper. Depuis le début de l’année, Kaspersky a comptabilisé plus de 100 000 détections du programme et plus de 1 500 victimes uniques, principalement en Chine et en Inde, tandis que Cato Networks a détecté une autre campagne contre un fabricant japonais. Une signature numérique valide atteste seulement de l’identité de l'éditeur d’un programme, pas de l’absence de code ajouté après coup. Les certificats dérobés à NVIDIA, en 2022, ont par exemple servi à signer des malwares comme le cheval de Troie Quasar RAT, avec une clé volée. Ici, la clé appartient bien à l'éditeur d’origine. Les pirates ajoutent le code malveillant au logiciel légitime sans jamais casser sa signature.
Dans son rapport publié le 31 août, Pavel Bukhtenko, chercheur en cybersécurité chez Kaspersky, recommande de ne jamais ajouter ce type de logiciel aux listes d’exclusion de vos solutions de sécurité.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.