Le logiciel recherché peut cacher une autre fonction
Le 31 août 2026, Kaspersky a décrit un installateur malveillant qui déployait une version modifiée de QN Wallpaper pour charger la backdoor ValleyRAT par DLL sideloading. L'installateur désactivait Windows Defender et ajoutait une persistance au démarrage. Kaspersky précise que son analyse repose sur un échantillon transmis par un client.
Les chiffres de plus de 100 000 détections et 1 500 utilisateurs uniques concernent l'ensemble des activités ValleyRAT observées par Kaspersky en 2026, pas cette voie de diffusion particulière. L'éditeur ne donne pas de décompte des victimes attribuable à l'installateur QN Wallpaper.
Pourquoi la signature ne suffit pas
Le binaire QnWallpaper.exe signé chargeait une bibliothèque libcef.dll malveillante placée dans son répertoire. La signature du processus ne rend donc pas la bibliothèque voisine sûre. Kaspersky indique aussi que des utilisateurs ajoutaient le logiciel aux exclusions de sécurité pour éviter les alertes : cette exception pouvait laisser la chaîne s'exécuter sans contrôle.
ValleyRAT peut enregistrer les frappes, lire le presse-papiers, capturer l'écran et charger d'autres modules. Sur un poste professionnel, ces fonctions peuvent exposer des mots de passe temporairement visibles, des codes de récupération, des données client et des sessions déjà ouvertes. MITRE décrit le DLL side-loading comme une technique d'exécution à partir d'une bibliothèque chargée par une application légitime.
Les contrôles concrets pour un poste Windows
N'installez pas QN Wallpaper depuis un lien non vérifié et ne créez pas d'exclusion antivirus pour faire disparaître une alerte. Pour les postes professionnels, limitez l'installation aux logiciels approuvés et surveillez les changements inhabituels de démarrage et de configuration de Microsoft Defender.
Si l'installation a eu lieu, isolez le poste avant de changer les mots de passe depuis celui-ci. Pour préparer la rotation, consultez le guide Soclyde sur les infostealers et notre guide sur le partage des mots de passe en équipe.
- Autoriser l'installation de logiciels selon une liste et un processus connus.
- Ne pas ajouter un programme téléchargé à une exclusion antivirus pour le faire fonctionner.
- Retirer les droits administrateur locaux lorsque l'activité ne les justifie pas.
- Révoquer les sessions et faire tourner les secrets accessibles : messagerie, cloud, VPN, navigateur et coffre.
- Recréer le poste depuis une image saine si la persistance ou l'étendue de l'accès ne peuvent pas être exclues.
Ce que Soclyde peut et ne peut pas faire
Un coffre local-first ne transforme pas un poste infecté en poste fiable. Soclyde aide néanmoins à garder des secrets uniques et à accélérer leur rotation après l'isolement d'un appareil. Un mot de passe remplacé ne doit pas être recopié dans un fichier temporaire ou partagé dans une conversation.
Le guide Soclyde sur les infostealers détaille la différence entre le coffre, le navigateur, l'endpoint et les sessions. Un générateur de mots de passe sécurisé peut aider à créer de nouveaux secrets uniques après assainissement du poste, mais ne détecte pas ValleyRAT et ne nettoie pas un appareil infecté.
À retenir
La sécurité commence avant l'installation. QN Wallpaper illustre pourquoi une signature valide n'est pas une garantie contre le DLL sideloading. Refusez les exclusions injustifiées, isolez un poste suspect et ne faites tourner les secrets qu'à partir d'un appareil sain. Pour préparer cette rotation, consultez le guide de partage en équipe ou contactez Soclyde.
