近期資安廠商 Kaspersky 揭露了一項由威脅組織 Silver Fox 發起的攻擊活動。該組織採取了一種極具欺騙性的策略，將名為 ValleyRAT（亦被稱為 Winos 4.0）的後門程式，偽裝在一個具有合法數位簽章的中國廣告軟體中。這種手法利用了使用者對「簽署軟體」的信任，以及許多人在安裝廣告軟體時，為了避免被防毒軟體攔截而主動將其加入「排除名單」的習慣，從而讓惡意程式在毫無警覺的情況下完全掌控受害者的電腦。
背景與攻擊路徑
這次攻擊的核心偽裝對象是一款名為 QN Wallpaper 的桌面壁紙工具。在未經修改的原始狀態下，這款軟體屬於廣告軟體（Adware），其運作方式是透過綑綁合作夥伴的應用程式並顯示廣告橫幅來獲利。由於這類軟體經常被安全工具判定為潛在有害程式（PUP），使用者往往會收到警告，而部分使用者為了能順利執行該軟體，會手動將其路徑設定為防毒軟體的排除對象。
Silver Fox 正是利用這一心理漏洞，將 ValleyRAT 後門植入修改後的 QN Wallpaper 安裝包中。當使用者執行安裝程式時，系統會啟動一個經過合法簽署的可執行文件 QnWallpaper.exe。由於該程序擁有有效的數位簽章，許多端點安全防護工具會將其視為可信賴的進程，進而降低偵測強度。
核心技術：DLL 側載與權限提升
ValleyRAT 的滲透主要依賴於 DLL 側載（DLL Sideloading）技術。這是一種利用應用程式載入動態連結庫（DLL）之優先順序的漏洞。攻擊者在 QnWallpaper.exe 所在的同一個目錄中放置了一個惡意的 libcef.dll 檔案。當合法程序啟動並嘗試載入所需的庫文件時，會優先載入同路徑下的惡意 DLL，導致後門程式在一個受信任的合法進程環境下執行，成功繞過基於簽章的安全性檢查。
在執行後門之前，安裝程式會採取一系列激進的手段來確保生存。首先，它會透過修改 Windows 登錄檔中的 DisableAntiSpyware 鍵值，強行關閉 Windows Defender 的防禦功能。接著，它將自己寫入系統的自動啟動項目中，以實現持久化控制。若目前的登入使用者不具備管理員權限，惡意程式會利用 runas 指令嘗試重新啟動並獲取更高權限。
為了防止被使用者或管理員強制關閉，ValleyRAT 甚至能將自身的進程標記為關鍵系統進程（Critical Process）。一旦使用者嘗試透過工作管理員終止該進程，Windows 系統會判定為關鍵故障，直接觸發藍屏死機（BSOD），迫使電腦重啟並再次啟動後門。
功能影響與實務風險
一旦 ValleyRAT 成功部署，操作者將獲得對受感染機器的全面控制權。根據 Kaspersky 的分析，該後門具備高度的資料竊取能力，包括記錄鍵盤輸入（Keystrokes）、讀取剪貼簿內容、截取螢幕畫面，以及下載並執行其他惡意模組。
這種攻擊模式顯示出廣告軟體與 affiliate networks（聯盟行銷網路）潛在的危險性。許多使用者認為廣告軟體頂多只是煩人，但當這些軟體被用作載體時，它們就變成了進入企業或個人電腦的特洛伊木馬。Silver Fox 組織此前已有類似紀錄，曾針對日本製造商以及印度、俄羅斯的組織發動以稅務為主題的攻擊，且同樣使用了 libcef.dll 這一名稱來進行側載。
限制與防禦建議
儘管 ValleyRAT 的傳播範圍廣泛，2026 年內已記錄超過 10 萬次偵測，影響超過 1,500 名使用者（主要集中在中國與印度），但此次特定的廣告軟體路徑僅基於單一客戶提交的樣本，具體的受害者總數尚無法精確統計。
從技術防禦角度來看，此案例提醒我們數位簽章並非絕對安全的保證。合法簽章僅證明該文件來自特定發行者，不能保證該程序在執行時載入的第三方庫文件是安全的。針對此類威脅，企業應建立嚴格的第三方軟體安裝政策，禁止員工在工作設備上安裝來源不明或聲譽低下的工具。對於個人使用者而言，最關鍵的禁忌是絕對不要將任何可疑軟體加入防毒軟體的排除名單中，因為這等於是為駭客在系統防護牆上開了一道後門。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。