署名付きアドウェアを隠れ蓑にするバックドア「ValleyRAT」の攻撃が判明、アンチウイルス除外設定を悪用

要点

• 脅威グループ「Silver Fox」が、デジタル署名を持つ中国製の壁紙アプリを悪用してバックドア「ValleyRAT」を拡散していることが判明した。

• ユーザーが広告表示アプリをセキュリティソフトのスキャン除外リストに登録する習性を突き、信頼されたプロセス内で不正コードを実行する。

• Windows Defenderの停止やプロセスの重要保護によるブルースクリーン強制など、検知・駆除を妨害する複数の機能を備える。

• カスペルスキーは2026年を通じて10万件以上の関連マルウェアを検出しており、不審なソフトを除外設定に加えないよう強く警告している。

• ロシアのサイバーセキュリティ企業カスペルスキーは2026年8月31日、脅威アクター「Silver Fox」がバックドアマルウェア「ValleyRAT」を配布する巧妙な攻撃手法を確認したと発表した。攻撃者はデジタル署名された中国製の正規アドウェアを偽装の基盤として利用し、セキュリティ製品による検出を回避していたという。

壁紙ツールの正規署名とDLLサイドローディングを悪用

カスペルスキーの分析によると、今回の攻撃では「QN Wallpaper」と呼ばれる中国製のデスクトップ壁紙ツールが偽装に利用されていた。このソフトウェアは本来、提携アプリの同梱や広告バナーを表示するアドウェア（広告表示を主目的とするソフトウェア）である。

攻撃の手口には「DLLサイドローディング」と呼ばれる手法が用いられている。DLLサイドローディングとは、正規の実行ファイルが動作に必要なプログラム（DLLファイル）を読み込む仕組みを悪用し、同名の悪意あるファイルを読み込ませる攻撃手法だ。

インストーラーを実行すると、改ざんされたQN Wallpaperが展開され、デジタル署名を持つ正規の実行ファイル「QnWallpaper.exe」が起動する。この実行ファイルが同じディレクトリ内に配置された不正な「libcef.dll」を読み込むことで、署名検証を通過した信頼できるプロセスの内部でバックドアが動作する。ユーザーが広告ソフトの誤検知を避けるためにアンチウイルスの除外リスト（スキャン対象外の設定）へ追加している場合、このプロセスは警戒されることなくセキュリティ監視をすり抜けてしまう。なお、感染プロセスが進行している間、アドウェア本来の広告表示機能は停止した状態に保たれているという。

多重の防御無効化とシステムの完全掌握

「Winos 4.0」としても追跡されているValleyRATは、感染先の端末を完全に遠隔制御する機能を備えた高度なバックドアである。

侵入後、インストーラーはアドウェア部分を立ち上げる前に、レジストリキー「DisableAntiSpyware」を操作してWindows Defenderを無効化し、システムの自動起動設定（autorun）へプログラムを登録する。操作中のユーザーが管理者権限を持っていない場合は、「runas」コマンドを用いて再起動を行い、権限の昇格を試みる設計となっている。

さらにValleyRATは、自身のプロセスをシステム上の「クリティカルプロセス（OSの稼働に必須とされるプロセス）」として登録する機能を持つ。これにより、ユーザーや管理者がタスクマネージャーなどから強制終了を試みると、Windowsが「BSoD（ブルースクリーン：重大なエラー時に画面が青くなり停止する現象）」を引き起こしてシステムがクラッシュするよう仕組まれていた。

端末を掌握した攻撃者は、キーボード入力の記録（キーストロークの収集）、クリップボードの内容取得、画面のスクリーンショット撮影のほか、追加の不正モジュールをダウンロードして実行するなど、自由な遠隔操作を行うことが可能になる。

日本企業も標的にした「Silver Fox」の手口と被害動向

カスペルスキーは、攻撃の対象地域や使用された不正プログラムの特徴から、背後にいる攻撃者グループを「Silver Fox」である可能性が高いと指摘している。

Silver Foxによる正規の署名付きソフトウェアを悪用したDLLサイドローディングは、同グループの常套手段となっている。今回の発表の約5週間前には、ネットワークセキュリティ企業のCato Networksが日本の製造業者に対する同グループの攻撃を報告しており、正規アプリケーションを悪用したDLLサイドローディングの事例として記録されていた。また、「libcef.dll」というファイル名は、2025年に確認されたValleyRATのローダー（マルウェア本体を呼び出して実行するプログラム）でも使われていた経緯がある。さらにカスペルスキーは過去にも、インドやロシアの組織を狙った税務関連テーマの標的型攻撃で、同グループが「Abcdoor」マルウェアを展開していた事案を追跡している。

カスペルスキーの集計によると、2026年を通じてValleyRATおよび関連マルウェアの検出数は10万件を超えており、主に中国とインドを中心に1,500人以上のユニークユーザーに影響を与えているという（この数値は本キャンペーン単独ではなく、2026年のValleyRAT全体の活動を合算したもの）。

同社は企業組織に対し、業務端末におけるサードパーティ製ソフトウェアの利用ポリシーを明確化し、従業員への注意喚起を徹底するよう求めている。個人ユーザーに対しても、信頼性の低いソフトウェアのインストールを避けること、そして何よりもセキュリティ対策ソフトの除外リストにそうしたソフトウェアを追加しないことが極めて重要であると強調している。