ValleyRAT маскируется под рекламное ПО

Смотрел, что нового у вендоров, и увидел — бэкдор ValleyRAT маскируется под рекламное ПО. Вредоносная версия QN Wallpaper с цифровой подписью внедряется через обход защиты, загружает шеллкод в системные процессы и может управлять заражённой машиной на уровне администратора. Это не про «вирус на сайте», но про уязвимость, которую можно использовать для заражения и снятия с контроля. Уже начал проверять, какие из клиентов используют подобные приложения, и отслеживаю, не появлялись ли в их системах подозрительные сетевые активности. Считаю, что маскировка под легитимное ПО — это не исключение, а стандарт. Пользователи доверяют подписанным файлам, а злоумышленники этим пользуются. На мой взгляд, важнее не просто «проверить на вирус», а понять, откуда появился файл, кто его установил и почему он получил доступ к системе. Уже включил в план на неделю проверку всех системных процессов на наличие подозрительных DLL-библиотек, особенно тех, что загружаются из нестандартных мест. У клиентов на поддержке это закрывается заранее — не дожидаясь, пока сработает вредонос.