Varonis Threat Labs uppger att de nyligen upptäckte AvisLoader, en Windows-laddare för skadlig kod som använder det krypterade peer-to-peer-nätverket Tox för att kommunicera med sina operatörer. Forskarna hittade den på en exponerad stagingserver tillsammans med en ClickFix-bluff, stödfunktioner och en kontrollpanel.
Bluffen efterliknade en begäran om signering via DocuSign och bad besökarna klistra in ett kommando i en terminal. Kommandot hämtade och körde kod via en Cloudflare Quick Tunnel-adress. Bluffen visade ett macOS-kommando, men de återfunna filerna innehöll en Windows-nyttolast. Forskarna hittade ingen motsvarande macOS-nyttolast.
Nyttolasten är en körbar fil på 3,4 MB och 64 bitar. I manifestet anges asInvoker, vilket innebär att filen ärver den startande processens behörigheter och inte begär en höjning via User Account Control (UAC) vid start. Varonis hittade också 17 lika stora sektioner med namn kopplade till packare som Themida, VMProtect, Enigma och UPX. Enligt forskarna visar namnen i sig inte att packarna användes.
AvisLoader använder Tox i stället för att vara beroende av en fast kommando- och kontrolldomän eller serveradress. Kod för uthållighet riktar in sig på genvägar på skrivbordet och i aktivitetsfältet. Bland de återfunna verktygen finns också auto.exe, som hänvisar till method 41 i UACME-projektet för kringgående, och hmn_hook.dll, som kan filtrera bort en angiven process från resultat från en Windows-funktion. Filerna visar inte att behörighetshöjningen lyckades eller att DLL-filen dolde AvisLoader från Aktivitetshanteraren.
AvisLoader Command Center har gränssnitt för klienter, uppgifter och filhantering. Varonis säger att fynden pekar på att den första ClickFix-kommandoraden, ändringar av genvägar och oväntad Tox-trafik bör övervakas.
Kommentarer
0Inga kommentarer ännu. Skriv den första.