#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Изменённый установщик QN Wallpaper маскируется под рекламное ПО, одновременно разворачивая бэкдор ValleyRAT с помощью подмены DLL (DLL sideloading). ValleyRAT обеспечивает постоянство присутствия через автозапуск в реестре, внедряется в процессы, перехватывает нажатия клавиш и данные из буфера обмена, делает скриншоты, а также поддерживает удалённое выполнение команд и загрузку модулей.
-----

Образец с MD5-хешем `c24e99f9437feacaa63766a3cde3fe3d` маскировался под рекламное ПО, но доставлял бэкдор ValleyRAT. Установщик развернул модифицированную версию приложения QN Wallpaper в случайной подпапке в каталоге `C:\Program Files\QNWallpaper\5.4.0.1662\` и добавил его в реестровые записи автозагрузки. Кроме того, перед запуском `QnWallpaper.exe` он пытался отключить Windows Defender с помощью реестрового параметра `DisableAntiSpyware`.

Изменённый пакет QN Wallpaper обеспечивал загрузку DLL (DLL sideloading) с помощью вредоносного файла `libcef.dll`, который выполнялся при загрузке подписанным приложением. DLL содержала два шифрованных с помощью AES полезного груза ValleyRAT с различными конфигурациями управления, выбор которых осуществлялся в зависимости от хост-процесса. После расшифровки библиотека проверяла заголовки PE полезного груза и загружала бэкдор непосредственно в память. Библиотека также экспортировала функцию `RunDLL`, способную инициировать выполнение, хотя основное приложение её не вызывало.

ValleyRAT анализирует инвертированную строку конфигурации в формате «ключ-значение» и включает в себя несколько механизмов закрепления и защиты процессов. В зависимости от конфигурации он может внедрять код в `svchost.exe` для перезапуска бэкдора, помечать собственный процесс как критический и перезапускаться после необработанных исключений. Внедрённый код перезапуска изначально защищён правами `PAGE_NOACCESS` и активируется после задержки.

Бэкдор фиксирует нажатия клавиш, отслеживает активное окно с использованием функций DirectInput8 и перехватывает данные из буфера обмена, сохраняя собранные данные локально. Он может перечислять окна, связанные с инструментами анализа или мониторинга трафика. Поддерживаемые команды включают перезагрузку или выключение системы, создание скриншотов, очистку журналов, обновление адресов C2, загрузку дополнительных модулей, а также эксфильтрацию данных кейлоггера и данных из буфера обмена.

ValleyRAT может загружать полезную нагрузку с инфраструктуры C2 или сторонних URL-адресов. Модули шеллкода выполняются с помощью внедрения в пустой процесс в `svchost.exe`, в то время как модули DLL загружаются вручную, вызываются через `DllMain` и экспортированную функцию `Main`, а затем выгружаются. Активность, наблюдавшаяся преимущественно в Китае и Индии в 2026 году, была оценена как потенциально связанная с оператором Silver Fox.