'Silver Fox'라는 해킹 그룹이 **ValleyRAT**이라는 악성 프로그램을 정식 서명된 중국산 바탕화면 앱(QN Wallpaper)으로 위장해 배포하고 있습니다. 이 악성코드는 DLL 사이드로딩(합법적인 프로그램 실행 파일에 악성 라이브러리 파일을 끼워 넣어 실행하는 기법)을 이용해 백신의 탐지를 피하며, 특히 사용자가 해당 앱을 백신 검사 제외 목록에 등록하면 완전히 무방비 상태가 됩니다. 감염되면 공격자가 피해자의 PC를 원격으로 완전히 제어할 수 있고, 키 입력·클립보드 내용 탈취, 화면 캡처, 추가 악성 모듈 설치도 가능합니다. Kaspersky에 따르면 2026년 한 해 동안 ValleyRAT 관련 탐지 건수가 10만 건을 넘었으며, 주요 피해국은 중국과 인도입니다. 업무용 기기에 출처가 불분명한 소프트웨어를 설치하지 말고, 특히 보안 솔루션 제외 목록에 절대 추가하지 말 것을 강력히 권고합니다.
Silver Fox 위협 행위자가 서명된 중국산 애드웨어(QN Wallpaper)에 ValleyRAT 백도어를 숨겨 배포. DLL 사이드로딩 기법으로 합법적인 서명 프로세스 안에서 악성코드를 실행해 탐지를 우회.
피해 PC에 대한 완전한 원격 제어권 획득. 키로깅·클립보드 탈취·스크린샷·추가 모듈 배포 가능. Windows Defender 비활성화 및 자동 실행 등록. 2026년 기준 탐지 10만 건 이상, 피해 사용자 1,500명 이상.
QN Wallpaper의 서명된 실행 파일(QnWallpaper.exe)이 같은 디렉터리에 심어진 악성 libcef.dll을 로드하는 DLL 사이드로딩 구조. 사용자가 해당 앱을 백신 제외 목록에 추가할 경우 탐지 가능성이 사실상 사라짐.
Kaspersky가 IoC(침해지표) 공개: MD5 해시 3종, C2 서버 IP 2종, 관련 도메인 2종, 레지스트리 키 및 설치 경로 제공. 출처 불명 소프트웨어 설치 금지 및 보안 솔루션 제외 목록 추가 금지 권고.
업무용 PC에서 서드파티 소프트웨어 설치 정책을 명확히 수립하고, 어떤 프로그램도 백신·EDR 제외 목록에 추가하지 않도록 직원 교육 필요. 공개된 IoC를 SIEM·방화벽·EDR에 즉시 등록해 탐지 규칙을 적용할 것.
본문
Swati Khandelwal 2026년 8월 31일 | 악성코드 / 엔드포인트 보안
Silver Fox로 알려진 위협 행위자가 ValleyRAT 백도어를 서명된 중국산 애드웨어 애플리케이션으로 위장해 배포하는 정황이 포착됐다. 해당 악성코드는 신뢰할 수 있는 프로세스 안에서 실행되어, 해당 소프트웨어를 백신 제외 목록에 추가한 사용자를 손쉽게 뚫는다.
러시아 사이버보안 업체 Kaspersky는 공격자들이 QN Wallpaper를 위장 수단으로 삼았다고 밝혔다. QN Wallpaper는 정식 중국산 바탕화면 도구로, 변조되지 않은 원본 형태에서는 파트너 앱을 함께 설치하고 광고 배너를 표시하는 애드웨어다.
설치가 완료되면 ValleyRAT(Winos 4.0으로도 추적됨)은 침해된 기기의 완전한 제어권을 공격자에게 넘긴다. Kaspersky는 공격의 지리적 분포와 페이로드 특성이 Silver Fox를 배후 그룹으로 가리킨다고 밝히며, 사용자들에게 평판이 의심스러운 소프트웨어를 피하고 보안 도구 제외 목록에 등록하지 말 것을 촉구했다.
"이번 사례는 애드웨어와 제휴 네트워크가 겉보기보다 훨씬 위험할 수 있음을 명확히 보여줍니다. ValleyRAT은 키 입력과 클립보드 내용 수집, 스크린샷 촬영, 추가 악성 모듈 배포가 가능한 정교한 백도어입니다." — Kaspersky 분석 보고서
위장의 핵심은 DLL 사이드로딩이다. 설치 프로그램은 변조된 QN Wallpaper 사본을 압축 해제한 뒤 서명된 실행 파일 QnWallpaper.exe를 구동하고, 이 파일이 같은 디렉터리에 심어진 악성 libcef.dll을 로드한다. 해당 라이브러리는 합법적으로 서명된 프로세스 내부에서 실행되므로, 서명을 신뢰하는 보안 제어를 우회한 채 백도어가 작동한다.
애드웨어 컴포넌트가 시작되기 전에 설치 프로그램은 DisableAntiSpyware 레지스트리 키를 통해 Windows Defender를 비활성화하고, 시스템 자동 실행 항목에 프로그램을 등록한다. 로그인한 사용자에게 관리자 권한이 없을 경우 악성코드는 runas를 이용해 권한을 획득한 뒤 자신을 재실행한다.
ValleyRAT은 자신의 프로세스를 크리티컬(critical)로 표시할 수도 있어, 강제 종료를 시도하면 블루스크린(BSOD)이 발생한다.
Kaspersky가 공개한 침해지표(IoC)는 다음과 같다.
- 해시(MD5):
c24e99f9437feacaa63766a3cde3fe3d(제출된 설치 파일),07ddbbe2c71c45577a7a4fbcdba0df91(악성libcef.dll),8a626d844943da3456b044f38deae3a2 - C2(명령·제어) 서버: 103.45.66.18 (포트 441, 442, 443), 192.253.225.173 (포트 6666, 8888)
- 감염 체인 도메인: qnwallpaper[.]keansoft[.]cn (악용된 애드웨어 다운로드 사이트), meeting[.]tencent[.]com (미끼로 열리는 정상 페이지)
- 호스트 아티팩트:
DisableAntiSpyware레지스트리 값, 설치 디렉터리C:\Program Files\QNWallpaper\5.4.0.1662\
서명된 합법 소프트웨어를 통한 DLL 사이드로딩은 Silver Fox의 확립된 공격 기법이다. 약 5주 전 일본의 한 제조업체를 겨냥한 캠페인에서 Cato Networks는 이 그룹이 "DLL 사이드로딩을 위해 합법적인 애플리케이션을 새롭게 남용하기 시작했다"고 기록했으며, 동일한 libcef.dll 파일명은 2025년 ValleyRAT 로더에서도 이미 등장한 바 있다.
Kaspersky 역시 인도와 러시아 조직을 겨냥한 세금 관련 테마의 이전 캠페인에서 이 그룹을 추적한 바 있다.
Kaspersky의 이번 분석은 고객 한 명이 제출한 단일 설치 파일을 기반으로 하며, 감염 체인이 실행되는 동안 광고 기능은 비활성 상태로 유지된다. 또한 보고서는 애드웨어 경로를 통한 구체적인 피해자 수를 제시하지 않았다.
2026년 한 해 동안 Kaspersky는 ValleyRAT 및 관련 악성코드의 탐지 건수를 10만 건 이상, 피해 고유 사용자를 1,500명 이상으로 집계했으며, 주요 피해국은 중국과 인도였다. 이 수치는 이번 캠페인만이 아닌 올해 전체 ValleyRAT 활동을 포괄한다.
Kaspersky는 조직에 업무용 기기의 서드파티 소프트웨어에 대한 명확한 정책을 수립하고, 임직원의 위협 인식 교육을 지속할 것을 촉구했다.
"개인 사용자의 경우 평판이 의심스러운 소프트웨어 설치를 피하고, 더 중요하게는 그러한 소프트웨어를 보안 솔루션의 제외 목록에 절대 추가하지 않을 것을 권고합니다." — Kaspersky
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
