ValleyRAT: Backdoor Disfarçada de Adware e Como se Proteger

Imagine baixar um programa que promete apenas exibir anúncios em troca de recursos gratuitos, mas que, secretamente, abre uma porta para criminosos controlarem seu computador remotamente. Essa é a realidade do ValleyRAT, um backdoor perigoso que tem se espalhado disfarçado de adware. Em uma análise recente da Securelist, pesquisadores detalharam como essa ameaça se instala sorrateiramente e quais riscos ela representa. Vamos entender como essa infecção funciona e, mais importante, como você pode se proteger.

O que é o ValleyRAT e por que ele é perigoso?

O ValleyRAT é um tipo de malware classificado como backdoor, ou seja, uma porta dos fundos que permite que invasores acessem e controlem um sistema infectado sem o conhecimento do usuário. Diferente de vírus que causam danos imediatos, o ValleyRAT opera silenciosamente, coletando informações, executando comandos e até baixando outros malwares. O que torna essa campanha particularmente insidiosa é o seu disfarce: ele se passa por um software de adware legítimo, o QN Wallpaper, que supostamente gerencia papéis de parede e exibe anúncios.

Ao se disfarçar de adware, os criminosos exploram a percepção de que esses programas são apenas irritantes, mas não maliciosos. Muitos usuários até os adicionam a listas de exclusão de antivírus para evitar bloqueios. Isso cria o ambiente perfeito para o ValleyRAT se instalar sem levantar suspeitas.

Como acontece a infecção: o passo a passo do ataque

De acordo com a análise da Securelist, o ataque começa com um instalador malicioso que se faz passar por programas populares, como Google Chrome ou DingTalk. Esse instalador, dependendo do nome do arquivo, pode até instalar o aplicativo legítimo para despistar a vítima. Enquanto isso, ele também instala o QN Wallpaper adulterado com o backdoor.

O processo de infecção segue estas etapas:

1. Execução do instalador falso: O usuário baixa e executa um arquivo que acredita ser um instalador confiável.
2. Instalação do adware modificado: O instalador extrai os arquivos do QN Wallpaper, incluindo uma versão maliciosa da biblioteca libcef.dll.
3. Desativação do Windows Defender: O malware usa uma chave de registro para desabilitar a proteção do sistema, facilitando sua persistência.
4. Carregamento do código malicioso: Quando o QN Wallpaper é executado, ele carrega a libcef.dll comprometida, que contém funções maliciosas. Essa DLL é responsável por iniciar o backdoor.
5. Execução do ValleyRAT: O backdoor é descriptografado e carregado na memória, assumindo o controle do sistema.

Um detalhe curioso é que o malware verifica se o usuário tem privilégios de administrador. Se não tiver, ele tenta obtê-los usando o comando runas, o que pode exibir um prompt de permissão. Fique atento a solicitações inesperadas de elevação de privilégios.

O papel da técnica de DLL Sideloading

O ValleyRAT utiliza uma técnica chamada DLL Sideloading, que explora a forma como o Windows carrega bibliotecas. Programas legítimos, como o QN Wallpaper, dependem de arquivos DLL para funcionar. Os criminosos substituem uma DLL legítima (no caso, a libcef.dll) por uma versão maliciosa. Quando o programa é iniciado, ele carrega a DLL falsa sem saber, e o código malicioso é executado com os mesmos privilégios do processo legítimo.

Essa técnica é eficaz porque o processo parece confiável para o sistema e para o usuário. O QN Wallpaper original é assinado digitalmente, o que reduz suspeitas. No entanto, a DLL adulterada contém funções que colocam o programa em espera infinita e, em seguida, carregam o backdoor real.

O que o ValleyRAT faz no seu computador?

Uma vez ativo, o ValleyRAT se conecta a um servidor de comando e controle (C2) controlado pelos invasores. A partir daí, eles podem enviar comandos para executar diversas ações maliciosas, como:

• Roubo de informações: Capturar teclas digitadas (keylogging), fazer capturas de tela, coletar senhas salvas em navegadores e dados de aplicativos.
• Controle remoto: Executar comandos do sistema, baixar e enviar arquivos, e até controlar o mouse e o teclado.
• Instalação de outros malwares: Baixar e executar programas adicionais, como ransomware ou spyware.
• Persistência: Garantir que o backdoor continue funcionando mesmo após reinicializações, adicionando-se à inicialização do sistema.

O ValleyRAT também pode marcar o processo como crítico, o que significa que, se você tentar encerrá-lo, poderá causar uma tela azul da morte no Windows. Isso dificulta a remoção manual e reforça a necessidade de usar ferramentas de segurança confiáveis.

Por que essa ameaça é tão eficaz?

O sucesso do ValleyRAT se deve a uma combinação de fatores:

• Disfarce de adware: Muitos usuários não levam adware a sério e podem ignorar alertas de segurança.
• Assinatura digital: O QN Wallpaper original é assinado, o que pode fazer com que ele pareça legítimo para alguns sistemas de segurança.
• Desativação de defesas: O malware tenta desligar o Windows Defender, reduzindo a proteção.
• Distribuição via instaladores falsos: Os criminosos usam nomes de aplicativos populares para enganar as vítimas.

Além disso, a técnica de DLL Sideloading permite que o código malicioso seja executado dentro de um processo confiável, dificultando a detecção por antivírus baseados em assinatura.

Como se proteger do ValleyRAT e ameaças semelhantes?

Agora que você entende o perigo, é hora de agir. Aqui estão medidas práticas para reduzir o risco de infecção:

1. Baixe software apenas de fontes oficiais: Evite sites de terceiros, torrents ou links patrocinados. Sempre acesse o site do desenvolvedor ou lojas oficiais.
2. Desconfie de instaladores com nomes genéricos: Se um arquivo chamado FSSETUPGG173.exe promete instalar o Google Chrome, desconfie. Verifique a assinatura digital e a reputação do arquivo.
3. Mantenha seu antivírus ativo e atualizado: Não desative o Windows Defender ou qualquer outra solução de segurança. Atualize regularmente as definições de vírus.
4. Fique atento a solicitações de permissão: Se um programa pedir privilégios de administrador sem motivo aparente, cancele e investigue.
5. Use um firewall e monitore conexões de rede: Ferramentas como o Windows Firewall podem ajudar a bloquear comunicações suspeitas com servidores C2.
6. Eduque-se sobre phishing e engenharia social: Muitos ataques começam com e-mails ou mensagens enganosas. Aprenda a reconhecê-los. Leia nosso artigo sobre como a IA está supercarregando golpes de phishing para entender os riscos atuais.