Die von Microsoft beobachteten Webseiten liegen auf Infrastruktur unter .com.cn und .hl.cn und locken mit chinesischsprachigen Inhalten zum Download eines ZIP-Archivs von „gehie246[.]com". Es handelt sich um hochwertige Klone der jeweiligen Original-Seiten samt prominent platzierter Download-Schaltfläche. Bemerkenswert: Der Dateiname des Archivs bleibt gleich, der Hash ändert sich bei jedem Abruf — ein Hinweis darauf, dass die Nutzlast serverseitig für jede Anfrage neu erzeugt wird.
Im Archiv findet sich ein Wrapper-Installer, etwa „a_instapp83353001.exe" oder „ainst8663586104.exe", der beim Ausführen die erste Stufe startet. Daneben registrierte Microsoft einen zweiten Ausführungsweg über den vertrauenswürdigen Windows-Installer-Dienst „msiexec.exe", der eine zufällig benannte ausführbare Datei startet und damit dasselbe Tarnmuster wie die Wrapper-Kette nachbildet.
Die Verankerung im System erfolgt in beiden Fällen über geplante Aufgaben, die routinemäßige IT- oder Produktivitätsjobs imitieren. Eine kurzlebige, unter SYSTEM laufende Aufgabe konfiguriert per PowerShell Ausnahmen für Microsoft Defender, löscht Volumeschattenkopien und schützt die Verzeichnisse der Nutzlast vor dem Löschen durch normale Benutzer, indem sie deren DACLs mit icacls verändert.
Zusätzlich greift die Schadsoftware Windows Update an: Sie stoppt und deaktiviert die Dienste wuauserv, UsoSvc, uhssvc und WaaSMedicSvc, benennt Update-DLLs um und löscht den SoftwareDistribution-Cache. Die Kommunikation mit den Steuerservern läuft anschließend über Anwendungsprotokolle auf ungewöhnlichen Ports wie 5090, 7031, 7032, 7088–7090, 8050, 28290 und 28300. Als zugehörige C2-Domains nennt Microsoft „iualef[.]net" und „oijfwe[.]net". Welches Endziel die Kampagne verfolgt, ist offen — Defender habe die Aktivität erkannt und über Angriffsunterbrechung automatisierte Eindämmungsmaßnahmen eingeleitet.
Nur wenige Tage zuvor hatte Kaspersky einen bösartigen Installer beschrieben, der eine abgewandelte Fassung des chinesischen Desktop-Hintergrund-Werkzeugs QN Wallpaper mitbringt und darüber eine DLL-Sideloading-Kette zur Auslieferung von ValleyRAT anstößt. „Die Originalversion von QN Wallpaper ist echte Adware: Bei der Installation bringt sie gebündelte Partner-Apps auf das Gerät und zeigt dem Nutzer anschließend Werbebanner", so Kaspersky. Im beobachteten Fall diene sie jedoch dem DLL-Sideloading, bei dem Schadcode im Gewand eines signierten Prozesses ausgeführt wird.
Die so eingeschleuste Hintertür schützt ihren eigenen Prozess vor dem Beenden, protokolliert Tastatureingaben und Zwischenablage-Inhalte in einer Datei und sucht regelmäßig nach aktiven Fenstern von Programmen zur Prozess- oder Datenverkehrsanalyse. ValleyRAT selbst kann Systeminformationen sammeln, den Rechner neu starten oder herunterfahren, Bildschirmfotos anfertigen, Protokolle löschen, C2-Adressen aktualisieren sowie weitere DLL- oder Shellcode-Module nachladen. Silver Fox greife, so Kaspersky, aus einer Mischung von Cyberspionage und Gewinnabsicht Organisationen in mehreren Ländern an.
Laut einem Bericht von Expel wird der Einsatz von ValleyRAT zudem einer Untergruppe von GoldenEyeDog namens CuboidalCanine zugeschrieben, die sich den Analysten zufolge „irgendwann" von Gh0st RAT abgewandt hat und über Watering-Hole-Angriffe sowie missbrauchte Code-Signing-Zertifikate die Glücksspielbranche ins Visier nimmt. Sicherheitsforscher Aaron Walton schränkt ein: „Diese Schadsoftware ist keinem Akteur exklusiv zuzuordnen" — da der Quellcode öffentlich sei, müsse sich eine Zuschreibung auf andere Faktoren als die Malware-Familie selbst stützen. Im Juni 2026 gingen chinesische Behörden laut dem Staatsmedium China Daily gegen mehrere Cybercrime-Fälle vor, in denen eine neue Variante des Silver-Fox-Trojaners verbreitet wurde.