Kaspersky ha trovato installer adware firmati che non servono davvero pubblicità: nascondono invece una catena d’infezione che porta ValleyRAT sui sistemi Windows. Il campione inizialmente sembrava solo adware, ma l’analisi ha mostrato che la funzione pubblicitaria non funziona e che il vero effetto è l’avvio del backdoor.
Il passaggio chiave è il trust. Il software entra come app firmata e plausibilmente già ammessa in una whitelist, poi usa DLL sideloading per far girare il codice malevolo sotto un processo attendibile e disattiva anche Defender. Per chi si affida a esclusioni manuali o ad allowlist basate sulla firma, il rischio non è il blocco mancato di un file, ma un backdoor che si presenta come software consentito e può restare dentro grazie a quella fiducia.
Questa è una tendenza operativa, non un caso isolato: software che gli utenti e i controlli tendono già a escludere può diventare un vettore di consegna e di persistenza.