ValleyRAT viaja adentro de un adware firmado: el instalador te pone Chrome de verdad y, por detrás, apaga Windows Defender

Un cliente le mandó a Kaspersky un archivo para que lo agregaran a la base de detecciones. Parecía adware del montón: de esos que te meten programas de regalo y te llenan la pantalla de banners. Lo clasificaron como adware y ahí podría haber terminado todo. Pero el análisis rápido mostró tráfico de red raro, alguien miró más adentro, y lo que había era ValleyRAT: un backdoor completo, con keylogger, capturas de pantalla y descarga de módulos a pedido.

El informe salió hoy, 31 de agosto de 2026, firmado por el investigador Pavel Bukhtenko en Securelist, el blog de investigación de Kaspersky. Y tiene un detalle que da para pensar: el instalador cumple. Te instala Google Chrome de verdad, o DingTalk, según la versión que te toque. Por detrás, apaga Microsoft Defender y deja corriendo un programa firmado que carga una biblioteca maliciosa.

Lo que vas a encontrar acá abajo

• ValleyRAT: cómo un archivo etiquetado como adware terminó siendo un backdoor
• El instalador que te pone Chrome de verdad (o DingTalk)
• Firmado no es lo mismo que confiable: qué es el DLL sideloading
• Apagar el antivirus es el primer paso, no el último
• Qué hace el bicho una vez que está adentro
• Silver Fox: el mismo grupo, otro disfraz
• ¿Y esto qué significa para vos?
• Preguntas frecuentes sobre el adware firmado que traía el backdoor

ValleyRAT: cómo un archivo etiquetado como adware terminó siendo un backdoor

Hay familias enteras de malware que se disfrazan de programas que la gente busca a propósito: cracks, cheats, activadores. El informe de Kaspersky abre por ahí y después marca la diferencia de este caso: el disfraz no fue un crack, fue adware genuino y firmado por su desarrollador.

La hipótesis de los investigadores sobre por qué eligieron ese vehículo tiene dos patas. Una es la firma digital: un ejecutable firmado despierta menos sospechas. La otra nos involucra: los usuarios suelen agregar a mano este tipo de aplicaciones a las exclusiones del antivirus, para que sus funciones útiles no queden bloqueadas. Ojo con el matiz: es la explicación probable que plantea Kaspersky, no un hecho comprobado de esta campaña.

El instalador que te pone Chrome de verdad (o DingTalk)

El archivo analizado se comporta distinto según dos letras del nombre, justo antes del número. Mismo instalador, tres fachadas.

Kaspersky lo dice con todas las letras: esas acciones están, con toda probabilidad, para desviar la atención de lo que pasa en paralelo. Y funciona: bajaste Chrome, se instaló Chrome, listo.

Sea cual sea el nombre, el instalador despliega siempre lo mismo: una copia modificada de QN Wallpaper —un gestor de fondos de escritorio chino que en su versión original es adware honesto: te trae aplicaciones de socios y te muestra banners— y la agrega al arranque automático. Todo se descomprime en C:\Program Files\QNWallpaper\5.4.0.1662\, en una carpeta de nombre aleatorio.

Firmado no es lo mismo que confiable: qué es el DLL sideloading

La técnica se llama DLL sideloading, catalogada por MITRE ATT&CK como T1574.001, y la idea es tan simple como incómoda. Un programa legítimo y firmado necesita cargar una biblioteca .dll. Si el atacante deja su propia versión en la carpeta correcta, el programa firmado la carga sin chistar y el código malicioso pasa a ejecutarse adentro de un proceso confiable.

Eso pasa acá: QnWallpaper.exe —el ejecutable firmado del adware— depende de libcef.dll, y en el paquete aparece la versión maliciosa. Lo mismo con el segundo módulo, QnwPlayer.exe. Cargar la biblioteca dispara el código malicioso sin que nadie haga clic en nada más.

Y acá viene el detalle que explica por qué el adware no molesta con publicidad: las funciones que la biblioteca original exportaba, en esta copia trucha, quedan en un sleep infinito. Es decir que QN Wallpaper directamente no funciona. Los atacantes previeron el caso: si ese sleep se interrumpe, una función carga en memoria las de la biblioteca original, siempre que la encuentre. Un adware sin publicidad y un gestor de fondos que no cambia el fondo: la coartada era tan buena que se olvidaron de sostenerla.

Apagar el antivirus es el primer paso, no el último

Antes de que arranque siquiera el componente de adware, el instalador hace dos cosas: usa la clave de registro DisableAntiSpyware para apagar Windows Defender y se suma a las entradas de arranque automático. Más adelante en la cadena, ya con la biblioteca maliciosa cargada, el código chequea si el usuario logueado pertenece al grupo de Administradores; si no, se relanza con runas para conseguir esos permisos.

Vale la pena poner al lado lo que Microsoft documenta para su propio antivirus, porque apunta a la misma pelea: quién puede apagar la protección. La página oficial de la app Seguridad de Windows describe la protección contra manipulaciones así: es una función que «ayuda a impedir que aplicaciones maliciosas cambien configuraciones importantes de Microsoft Defender Antivirus», incluidas la protección en tiempo real y la protección entregada desde la nube. Y agrega el punto fino: con la función activada, un administrador todavía puede cambiar esos ajustes desde la app de Seguridad de Windows, pero «otras aplicaciones no pueden cambiar esta configuración».

Seamos rigurosos con lo que no sabemos: el informe no dice en qué estado estaba esa protección en los equipos infectados, así que no podemos afirmar cuál de las dos cosas gana en una PC concreta. Lo que sí queda claro es dónde está la pelea.

Un dato más de esa misma página, que a los lectores de esta casa les toca de cerca: si instalás un antivirus de terceros compatible, «Microsoft Defender Antivirus se apagará automáticamente». O sea que si tenés ESET, Bitdefender o el que sea, la lista de exclusiones que importa no es la de Defender: es la del antivirus que usás de verdad.

Qué hace el bicho una vez que está adentro

Las dos cargas útiles —una por proceso— son bibliotecas cifradas con AES que contienen el backdoor, y se diferencian solo en las direcciones de comando y control. Descifrado y validado, el código toma el control.

La lista de capacidades conviene leerla completa, porque explica por qué esto no es «un virus más»:

• Keylogger y portapapeles: registra las teclas y la ventana que tenés en foco usando funciones de DirectInput8, y captura el contenido del portapapeles. Todo se guarda en un archivo en el disco.
• Inventario del equipo: nombre del host, direcciones IP, tiempo de inactividad, versión detallada de Windows, núcleos del procesador, espacio libre en disco, placa de video, ventana activa, arquitectura e idioma.
• Comandos a pedido: reiniciar la máquina, apagarla, sacar una captura de pantalla, borrar registros, cambiar sus propias direcciones de servidor y descargar módulos nuevos.
• Módulos extra: descarga y ejecuta lo que le manden, desde el servidor propio o desde una dirección de terceros. Si lo que llega es shellcode, lo lanza con process hollowing sobre svchost.

La autodefensa es la parte que más ruido hace. El backdoor puede marcar su propio proceso como crítico, así que cualquier intento de terminarlo dispara una pantalla azul. Puede inyectar en svchost código cuyo único trabajo es relanzarlo si algo lo interrumpe. Y reiniciarse ante una excepción no controlada está siempre activo, sin importar la configuración. Traducido: matarlo desde el Administrador de tareas no alcanza y encima te tira la máquina.

La configuración, para cerrar el cuadro, viaja escrita al revés —los atacantes invierten el orden de los caracteres— y el backdoor la endereza al arrancar. Trae además una opción para revisar si hay abiertas herramientas de análisis de procesos o de tráfico, por si del otro lado hay un investigador.

Silver Fox: el mismo grupo, otro disfraz

Kaspersky atribuye la campaña a Silver Fox como grupo probable, por la geografía de los ataques y por el uso de ValleyRAT. No es la primera vez que aparece este año con la misma idea de fondo: meterse adentro de software legítimo.

A fines de julio, el equipo de Cato CTRL publicó el análisis de una campaña del mismo grupo contra un fabricante industrial japonés. La comparación sirve para ver qué cambia y qué no.

Cato aclara que atribuye esa campaña a Silver Fox con «confianza moderada a alta», y que ningún artefacto suelto alcanza: es la combinación completa la que sostiene la conclusión.

Un dato de escala, con su asterisco: en 2026 Kaspersky detectó ValleyRAT y el malware asociado más de 100.000 veces, con más de 1.500 usuarios únicos afectados, principalmente en China e India. Ese número es de toda la actividad de la familia en el año, no de esta campaña.

Un chequeo propio, y lo que no prueba

El informe nombra una sola vez el sitio del programa que usaron de disfraz. Lo consultamos desde la redacción el 31 de agosto de 2026: sigue en pie y devuelve la página de descarga del fabricante original, con su número de licencia ICP china a la vista. Conviene decir qué no significa eso. Kaspersky no dice que de ahí haya salido la copia modificada —el instalador trae los módulos adentro, en un 1.zip— ni incluye ese dominio entre sus indicadores de compromiso: los IOC del informe son tres hashes MD5 y dos direcciones de comando y control, 103.45.66.18 y 192.253.225.173. Al fabricante del programa original no lo señala nadie.

«Este caso es un ejemplo claro de cómo el adware y las redes de afiliados pueden resultar mucho más peligrosos de lo que parecen. […] Para los usuarios individuales recomendamos evitar la instalación de software de reputación dudosa y, más importante todavía, nunca agregar ese software a las listas de exclusión de sus soluciones de seguridad.»

Kaspersky, en el informe firmado por Pavel Bukhtenko — vía Securelist

¿Y esto qué significa para vos?

Arranquemos por lo que no significa. El informe no publica la geografía de esta campaña puntual: lo que publica es que, a lo largo de 2026, las detecciones de la familia se concentraron en China e India. Y el vehículo es un gestor de fondos de escritorio que en Argentina no instala prácticamente nadie. Si buscabas el titular «cuidado, esto te va a pasar mañana», no es este.

Lo que sí viaja perfecto de un continente al otro es el método. Bajar el instalador de un sitio cualquiera, aceptar el programa de regalo que viene adentro y —sobre todo— agregar carpetas y ejecutables a las exclusiones del antivirus «porque me lo marcaba y yo sé que está bien» son costumbres de acá y de todas partes. La última es, según el propio informe, una de las razones por las que este disfraz le conviene al atacante.

Las tres cosas concretas que deja el caso, ordenadas por lo que cuestan:

• Una firma digital no es un certificado de buena conducta. Certifica quién compiló ese ejecutable, no lo que hace la biblioteca que carga al arrancar. Todo el ataque vive en esa diferencia.
• La lista de exclusiones es una puerta, no un atajo. Cada excepción es un lugar donde tu antivirus decide, por instrucción tuya, no mirar. Y vale también para lo que ese programa traiga adentro.
• Un equipo sin antivirus activo es el escenario que estos instaladores buscan. Y no siempre lo apaga el malware: a veces alguien nos convence de apagarlo. Ya vimos ese guion en la estafa del escaneo falso con la marca de Microsoft que te manda a desinstalar el antivirus y en el clon de CCleaner que instalaba un espía adentro de Chrome. Si tu PC quedó sin protección en tiempo real, una licencia de ESET NOD32 Antivirus para 1 PC vuelve a prenderla.

Y una que no cuesta nada: si un instalador pide permisos de administrador para algo que no los necesita, o si un programa que pusiste «para los fondos de pantalla» aparece en el arranque del sistema, eso ya es información.

Preguntas frecuentes sobre el adware firmado que traía el backdoor

¿Qué es exactamente este backdoor y qué puede hacer en tu PC?

Le da al operador control del equipo infectado: registra teclas y portapapeles, saca capturas, inventaria el hardware y descarga módulos a pedido. Kaspersky lo asocia al grupo Silver Fox y detectó a esta familia —el backdoor y el malware asociado— más de 100.000 veces durante 2026.

¿Cómo sé si tengo instalado el programa que usaron de disfraz?

El paquete se descomprime en C:\Program Files\QNWallpaper\5.4.0.1662\, dentro de una carpeta con nombre aleatorio, y se agrega al arranque automático. Si nunca instalaste un gestor de fondos de escritorio chino, es improbable que lo tengas: el informe no reporta otros vehículos para esta campaña.

¿Está mal agregar programas a las exclusiones del antivirus?

No está mal como práctica, está mal como reflejo. Una exclusión es una orden explícita de no revisar algo. Tiene sentido para software que conocés y cuya procedencia podés justificar; no lo tiene para un programa que bajaste de un sitio cualquiera y que justamente tu antivirus está marcando.

¿Alcanza con que un programa esté firmado digitalmente?

No. La firma dice quién publicó ese ejecutable, y en este caso el ejecutable firmado era auténtico. Lo malicioso era una biblioteca que ese programa carga al arrancar, colocada en la misma carpeta. La firma del proceso padre no se extiende a lo que ese proceso termina ejecutando.

🛒 Te puede servir

ESET NOD32 Antivirus – 12 Meses – 1 PCAntivirus, anti-phishing y protección contra ransomware para Windows 10 y 11.Ver precio de hoy → Malwarebytes Anti-Malware – 12 Meses – 1 PCAnálisis y bloqueo de amenazas para revisar un equipo del que ya sospechás.Ver precio de hoy →

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Volvé a tener el antivirus prendido →