署名付きアドウェアを偽装して ValleyRAT を配布 — KasperskyがDLLサイドローディングの感染連鎖を解明

Kasperskyは2026年8月31日、バックドア **ValleyRAT（別名 WinnLoader）**を署名付きアドウェアに偽装して配布する感染連鎖を報告した。報告を執筆したのは同社のPavel Bukhtenko氏で、クライアントから寄せられた検体（MD5: c24e99f9437feacaa63766a3cde3fe3d）の解析を端緒に、通常の広告表示機能が動作せず、代わりに暗号化されたバックドアが展開される実態を解明した。

何が起きたか — 署名付き壁紙ツールに潜むバックドア

攻撃者が配布したのは、中国製のデスクトップ壁紙管理ツール **QN Wallpaper（qnwallpaper.keansoft.cn）**を改変したインストーラだ。オリジナルのQN Wallpaperは正規のアドウェアとして、バンドルされたパートナーアプリを導入した後に広告バナーを表示する。一方、今回の改変版は広告機能自体が動作せず、感染連鎖の容器として使われていた。

Kasperskyによると、インストーラはファイル名の末尾に付く2文字のサフィックスによって異なるおとり動作を示す。たとえば「DingTalkをインストールする」「Google Chromeをインストールする」「hxxps://meeting.tencent.com/download/を開く」といった動作で、ユーザーの注意をそらす。一方で、背後では共通して改変版のQN Wallpaperを C:\Program Files\QNWallpaper\5.4.0.1662\<ランダム文字列>\ に展開し、レジストリのautorunに登録して永続化する。

展開されるファイルには、正規の QnWallpaper.exe と QnwPlayer.exe のほか、悪性の libcef.dll、暗号化されたバックドア本体、Electron起動用ライブラリなどが含まれる。インストーラは展開後にレジストリ値 DisableAntiSpyware を操作して Windows Defenderを無効化し、その後 QnWallpaper.exe を起動する。

DLLサイドローディングで正規プロセスに寄生

感染の核心は **DLLサイドローディング（T1574.002）**だ。QnWallpaper.exe は起動時に依存ライブラリ libcef.dll を読み込むが、同梱された libcef.dll は正規のエクスポート関数を無限スリープに置き換えた偽装版だ。プロセス起動時に DllMain が自動実行され、悪性コードの実行が始まる。Kasperskyは、このライブラリが本来の libcef.dll から必要な関数をメモリにロードする仕組みも備えていたと指摘している。

同ライブラリは本来のエクスポートに加え、RunDLL という関数もエクスポートしていた。QnWallpaper.exe 自体はこの関数を呼び出さないため、Kasperskyは攻撃者が rundll32 による手動呼び出しや、パッケージに含まれていなかった別の実行ファイルを介した起動を想定していた可能性があると分析している。

なぜアドウェア偽装が選ばれたのか

Kasperskyは、攻撃者がこの配布手法を選んだ理由を2点挙げている。第一に、アドウェアが開発者によって正規に署名されていたことだ。署名付きの実行ファイルは、セキュリティ製品やユーザーに信頼されやすい。第二に、ユーザーが広告機能を妨げられないように、自らアドウェアをセキュリティ製品の除外リストに登録することが多いため、検出やブロックを回避しやすくなる。Kasperskyは「ユーザーが有用な機能をブロックされないよう手動で除外に追加することが多い」と記している。

今回の検体がクライアント環境で最初に「アドウェア」として分類され、ネットワーク通信の不審さから深掘りされて初めてバックドアの実態が判明した経緯も、この偽装が有効に機能したことを示している。

影響と対策 — 署名だけで信頼しない

Kasperskyが示した事実に基づく対応は、署名の有無だけで安全性を判断しないことだ。同社は、署名付きであっても出所が不明確なインストーラ、特に壁紙ツールやユーティリティを装う外部配布物の実行を避けること、 autorun 登録や DisableAntiSpyware などの防御無効化の痕跡を監視することを推奨しているわけではないが、報告書はこれらの挙動を感染の指標として示している。

組織は、エンドポイントで次の点を事実として確認できる。

• C:\Program Files\QNWallpaper\ 配下に不審なランダム文字列ディレクトリや libcef.dll が配置されていないか
• レジストリの DisableAntiSpyware が不正に変更されていないか
• 署名は有効でも、配布元が qnwallpaper.keansoft.cn 以外の経路で取得されたQN Wallpaper関連ファイルが存在しないか

Kasperskyは、今回のValleyRATが従来の広告配信やアフィリエイト経由ではなく、署名付きアドウェアの信頼を悪用した点で「あまり一般的でないケース」だと評価している。ユーザーが意図的に除外登録する正規ソフトほど、攻撃者にとっては格好の隠れみのになる。

出典

• Kaspersky Securelist「ValleyRAT masquerading as adware」 (2026年8月31日) — Pavel Bukhtenko氏による解析レポート https://securelist.com/valleyrat-backdoor-adware/121175/