Der Infektionsweg beruht auf DLL-Sideloading. Der Installer entpackt eine veränderte Kopie von QN Wallpaper und startet deren signierte ausführbare Datei QnWallpaper.exe. Diese lädt eine im selben Verzeichnis abgelegte, bösartige libcef.dll. Weil die Bibliothek innerhalb eines legitim signierten Prozesses ausgeführt wird, schlagen Schutzmechanismen, die der Signatur vertrauen, nicht an.
Noch bevor die Adware-Komponente überhaupt startet, schaltet der Installer Windows Defender über den Registry-Schlüssel DisableAntiSpyware ab und trägt das Programm in die Autostart-Einträge des Systems ein. Verfügt das angemeldete Konto nicht über Administratorrechte, startet sich die Schadsoftware mittels runas neu, um sie zu erlangen.
Zusätzlich kann ValleyRAT den eigenen Prozess als kritisch markieren. Jeder Versuch, ihn zu beenden, löst dann einen Bluescreen aus. Die Werbefunktionen der Adware bleiben während der Infektionskette untätig — die Tarnung fällt also auch durch ausbleibende Banner nicht auf.
DLL-Sideloading über signierte, legitime Software gehört seit längerem zum Repertoire von Silver Fox. Etwa fünf Wochen zuvor hatte Cato Networks in einer Kampagne gegen einen japanischen Hersteller dokumentiert, was die Firma als den “neu beobachteten Missbrauch legitimer Anwendungen für DLL-Sideloading” durch die Gruppe bezeichnete. Der Dateiname libcef.dll war zudem bereits 2025 in einem ValleyRAT-Loader aufgetaucht. Kaspersky selbst hatte die Gruppe zuvor in einer Kampagne mit Steuerbezug gegen Organisationen in Indien und Russland verfolgt.
Zur Größenordnung des Gesamtphänomens nennt Kaspersky Zahlen: Über das Jahr 2026 hinweg registrierte der Anbieter mehr als 100.000 Erkennungen von ValleyRAT und zugehöriger Schadsoftware bei über 1.500 einzelnen Nutzern, überwiegend in China und Indien. Diese Zahl umfasst die gesamte ValleyRAT-Aktivität des Jahres und nicht allein die hier beschriebene Kampagne. Indikatoren für eine Kompromittierung (IoCs) hat Kaspersky ebenfalls veröffentlicht.
“Dieser Fall ist ein deutliches Beispiel dafür, wie Adware und Partnernetzwerke sich als weitaus gefährlicher erweisen können, als sie erscheinen”, schreibt Kaspersky in seiner Analyse. Privatnutzern rät das Unternehmen, auf die Installation von Software mit zweifelhaftem Ruf zu verzichten und solche Programme “vor allem niemals den Ausnahmelisten der eigenen Sicherheitslösungen hinzuzufügen”. Organisationen empfiehlt Kaspersky, klare Regeln für Software von Drittanbietern auf Arbeitsgeräten festzulegen und die Belegschaft für die Bedrohung zu sensibilisieren.