חוקרים מ-Kaspersky חשפו קמפיין של קבוצת התקיפה Silver Fox שמסתיר את הדלת האחורית ValleyRAT (מוכרת גם כ-Winos 4.0) בתוך גרסה משובשת של תוכנת טפט שולחני סינית חוקית וחתומה דיגיטלית. השיטה מנצלת הרגל נפוץ אצל משתמשים: הוספת תוכנות אדוור מוכרות לרשימת החריגים באנטי-וירוס כדי שלא ייחסמו, מה שמעניק לנוזקה מסלול פעולה חופשי בתוך תהליך שנחשב אמין.
הפרטים
התוקפים בנו את ההסוואה סביב QN Wallpaper — כלי טפטים אמיתי שמופץ כאדוור לגיטימי הכולל שילוב תוכנות שותפות ופרסומות. גרסת ההתקנה הזדונית מריצה את הקובץ המקורי והחתום QnWallpaper.exe, ולצידו מניחה בספרייה קובץ libcef.dll זדוני שנטען אוטומטית על ידי התהליך החתום בשיטת DLL sideloading. לפני הפעלת מנגנוני האדוור עצמם, המתקין מכבה את Windows Defender באמצעות שינוי בערך הרישום DisableAntiSpyware, ומוסיף את עצמו להפעלה אוטומטית. כשלמשתמש אין הרשאות מנהל, הנוזקה מפעילה את עצמה מחדש דרך runas כדי לקבל הרשאות מוגברות. לפי Kaspersky, במהלך 2026 נרשמו יותר מ-100,000 זיהויים של ValleyRAT ותוכנות נלוות, שפגעו במעל 1,500 משתמשים ייחודיים — בעיקר בסין ובהודו.
נקודות לשים לב
- ל-ValleyRAT יש יכולות שליטה מלאה במחשב הנגוע: תיעוד הקשות מקלדת, קריאת תוכן הלוח (clipboard), צילומי מסך והורדת מודולים זדוניים נוספים.
- אל תוסיפו תוכנות חינמיות או אדוור בעלות מוניטין מפוקפק לרשימת החריגים של האנטי-וירוס — זו בדיוק נקודת הכניסה שהקמפיין הזה מנצל.
- חתימה דיגיטלית תקינה על קובץ הרצה אינה ערובה לבטיחותו — היא רק מעידה על זהות החותם, ולא מונעת DLL sideloading מתוך אותה ספרייה.
- בארגונים כדאי להגדיר מדיניות ברורה להתקנת תוכנות צד שלישי במחשבי עבודה, ולנטר שינויים בערך הרישום DisableAntiSpyware ככלי איתור מוקדם.
- הקמפיין מתועד כעת בעיקר בסין ובהודו, אך שיטת ההסוואה בתוך אדוור חתום עלולה לשמש קבוצות תקיפה נוספות באזורים אחרים.
מקורות: The Hacker News · Securelist (Kaspersky)
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
