Дослідники виявили Windows-завантажувач AvisLoader із P2P-зв’язком
Дослідники виявили AvisLoader для Windows, який використовує мережу Tox, приманки ClickFix і змінені ярлики для закріплення.
Дослідники Varonis Threat Labs виявили новий завантажувач шкідливого ПЗ для Windows під назвою AvisLoader, який використовує зашифровану однорангову мережу Tox для зв’язку з операторами та отримання додаткових файлів. Як повідомляє BleepingComputer, зразок знайшли на відкритому сервері підготовки разом із приманкою ClickFix, допоміжними інструментами та панеллю керування.
За даними дослідників, застосування Tox ускладнює блокування інфраструктури командного керування за доменами або фіксованими адресами серверів. Оператор може перенести контролер на інший сервер, зберігши ідентичність у мережі, а клієнти мають продовжити зв’язок без прив’язки до домену.
Приманка під запит DocuSign
Виявлена ClickFix-сторінка була розміщена через Cloudflare Workers і імітувала запит на підписання документа в DocuSign. На сторінці відвідувачу пропонували нібито пройти ручну перевірку Cloudflare: скопіювати та виконати в терміналі команду, підготовлену зловмисниками. Команда завантажувала й запускала код із адреси Cloudflare Quick Tunnel на домені trycloudflare.com, тобто завантаження відбувалося поза звичайним механізмом браузера.
Хоча приманка показувала команду для macOS, у доступних файлах дослідники знайшли Windows-завантажувач. Це 64-розрядний виконуваний файл розміром 3,4 МБ, який не запитує підвищення прав через UAC під час запуску. У ньому також виявили назви секцій, пов’язані з відомими пакувальниками, однак самі ці назви не підтверджують використання конкретних інструментів.
Закріплення в системі та команди
AvisLoader містить ознаки механізму закріплення через ярлики на робочому столі та в папці закріплених на панелі завдань програм. Зразок може бути налаштований так, щоб після відкриття зміненого ярлика запускати шкідливий код, а потім відкривати очікувану користувачем програму. Серед пов’язаних файлів фахівці також знайшли допоміжний auto.exe з посиланнями на метод обходу UAC із публічного проєкту UACME, але це не доводить успішного підвищення привілеїв.
Окрема бібліотека hmn hook.dll призначена для приховування процесу: вона перехоплює функцію Windows NtQuerySystemInformation та може відфільтровувати задану назву процесу з результатів. Панель AvisLoader Command Center дає операторам змогу переглядати дані про пристрої, готувати shell-команди для вибраних клієнтів і передавати їм файли через Tox. Дослідники радять перевіряти підозрілі запити на вставлення команд, зміни ярликів, неочікуваний трафік Tox і активність командних оболонок, що завантажують віддалений код.
