ValleyRAT se disfarça de software legítimo para roubar teclas digitadas e área de transferência
O grupo Silver Fox está distribuindo o RAT ValleyRAT escondido dentro de instaladores que imitam apps populares como DingTalk, Chrome e Tencent Meeting, usando DLL sideloading para evitar detecção. O malware monitora a janela ativa e captura teclado e clipboard, dados que alimentam diretamente roubo de credenciais e fraude financeira. A campanha já soma mais de 100 mil detecções em 2026, concentradas na China e na Índia.
A Security Affairs detalhou uma campanha em curso do grupo Silver Fox, descrito por Kaspersky e Cato CTRL como motivado tanto por espionagem quanto por ganho financeiro, distribuindo o trojan de acesso remoto ValleyRAT. O vetor de entrada é um instalador que se apresenta como software legítimo e conhecido — DingTalk, Chrome, Tencent Meeting ou uma versão adulterada do wallpaper QN Wallpaper — para reduzir a desconfiança da vítima antes da execução.
Tecnicamente, o ataque explora DLL sideloading: o instalador coloca uma biblioteca maliciosa (substituindo a legítima libcef.dll) exatamente no caminho onde o aplicativo assinado espera encontrá-la. Quando o programa legítimo é executado, ele carrega a DLL maliciosa automaticamente, o que faz o processo malicioso herdar a reputação e a assinatura digital do software confiável e escapar de boa parte das checagens de segurança baseadas em assinatura. Uma vez ativo, o ValleyRAT opera como um RAT completo: monitora a janela ativa, captura tudo o que é digitado e tudo o que passa pela área de transferência, e coleta hostname, IP e configurações do sistema — exatamente o tipo de dado usado para roubar senhas, códigos de autenticação copiados e credenciais de acesso bancário ou de carteiras cripto.
A escala da campanha (mais de 100 mil detecções em 2026, mais de 1.500 usuários afetados) mostra que sideloading em softwares populares continua sendo um caminho eficiente para contornar defesas baseadas apenas em reputação de arquivo. Como a checagem de assinatura recai sobre o executável principal e não sobre as bibliotecas que ele carrega, verificar apenas se o programa é 'assinado' não é suficiente.
Para reduzir a exposição, usuários devem evitar instaladores fora de canais oficiais e desconfiar de versões 'alternativas' de apps populares. Copiar e colar senhas ou códigos de autenticação de dois fatores deve ser evitado sempre que possível, já que o clipboard é um dos alvos diretos desse tipo de malware — gerenciadores de senha com autopreenchimento nativo reduzem essa exposição. No lado corporativo, soluções de EDR devem sinalizar quando um processo assinado carrega uma DLL fora do diretório esperado, e times de segurança devem monitorar picos de leitura de clipboard e captura de teclado como indicadores de comprometimento.