AvisLoader mantiene conectado el malware de Windows mediante Tox

Varonis Threat Labs afirma que descubrió recientemente AvisLoader, un cargador de malware para Windows que usa la red cifrada de mensajería entre pares Tox para comunicarse con sus operadores. Los investigadores lo encontraron en un servidor de preparación expuesto, junto con un señuelo ClickFix, herramientas auxiliares y un panel de control.

El señuelo imitaba una solicitud de firma de DocuSign y pedía a los visitantes que pegaran un comando en una terminal. Ese comando descargaba y ejecutaba código mediante una dirección de Cloudflare Quick Tunnel. Aunque el señuelo mostraba un comando para macOS, los archivos recuperados contenían una carga para Windows; los investigadores no encontraron una carga correspondiente para macOS.

La carga es un ejecutable de 3,4 MB y 64 bits. Su manifiesto especifica asInvoker, por lo que hereda los privilegios del proceso que lo inicia y no solicita una elevación de User Account Control (UAC) al arrancar. Varonis también encontró 17 secciones del mismo tamaño con nombres asociados a empaquetadores como Themida, VMProtect, Enigma y UPX, pero señala que esos nombres por sí solos no demuestran que se usaran dichos empaquetadores.

AvisLoader usa Tox en lugar de depender de un dominio o una dirección de servidor fijos para el mando y control. Su código de persistencia apunta a accesos directos del escritorio y de la barra de tareas. Entre las herramientas recuperadas también están auto.exe, que hace referencia a method 41 del proyecto de evasión UACME, y hmn_hook.dll, que puede filtrar un proceso especificado de los resultados devueltos por una función de Windows. Los archivos no demuestran que la elevación tuviera éxito ni que la DLL ocultara AvisLoader del Administrador de tareas.

AvisLoader Command Center incluye interfaces para gestionar clientes, tareas y archivos. Varonis afirma que sus hallazgos apuntan a vigilar el comando inicial de ClickFix, los cambios en accesos directos y el tráfico Tox inesperado.