「QN Wallpaper」を悪用してValleyRATを配布、正規ソフトウェアに偽装して検知を回避

QN Wallpaperの署名付き実行ファイルを悪用してValleyRATを実行

2026年8月に公開された調査によると、サイバー犯罪グループ「Silver Fox」が、中国の広告ソフトウェア「QN Wallpaper」の署名付き実行ファイルを悪用し、バックドア「ValleyRAT」を展開する手法が確認された。攻撃ではDLLサイドローディングを利用して悪意のあるコードを実行し、セキュリティ製品による検知を回避しながら感染端末へのアクセスを確立する。

Silver Foxは、QN Wallpaperの署名付き実行ファイルから悪意のある「libcef.dll」を読み込ませることでDLLサイドローディングを実行し、最終的にValleyRATを端末上で起動する。正規の署名付き実行ファイルのDLL読み込み処理を悪用することで、悪意のあるコードを正規プロセスに関連付けて実行し、検知を困難にする仕組みとなっている。

さらに、QN WallpaperはWindows Defenderに関連する設定を変更するほか、自身を自動実行項目に登録し、必要に応じて「runas」を利用して管理者権限での実行を試みる。こうした機能とDLLサイドローディングを組み合わせることで、Silver FoxはValleyRATの実行環境を確保し、侵害したシステムへの継続的なアクセスを可能にする。

Silver Foxの攻撃拡大とQN Wallpaper悪用への対策

今回の事例では、QN Wallpaperの署名付き実行ファイルやDLL読み込み処理がValleyRATの展開に悪用されており、正規に署名されたソフトウェアであっても攻撃チェーンの一部として利用される可能性が示された。組織では、ソフトウェアの署名だけを信頼基準とするのではなく、実行ファイルによって読み込まれるDLLやプロセスの挙動、セキュリティ製品の除外設定などを含めて監視することが重要となる。

Silver Foxはこれまでにもインドやロシアなどを対象とした攻撃活動が確認されており、今回の調査では中国やインドを標的とする活動も確認された。Kasperskyが公開したIoC（侵害指標）を活用することで、QN Wallpaperや悪意のある「libcef.dll」、ValleyRATに関連する不審な挙動を検知できる可能性がある。特に、DLLサイドローディングやWindows Defenderの設定変更、不審な自動実行設定、権限昇格など、今回の攻撃チェーンに関連する挙動を継続的に確認することが対策となる。