Varonis Threat Labs, operatörleriyle iletişim kurmak için şifreli eşler arası mesajlaşma ağı Tox'u kullanan bir Windows zararlı yazılım yükleyicisi olan AvisLoader'ı yakın zamanda keşfettiğini belirtiyor. Araştırmacılar AvisLoader'ı, bir ClickFix tuzağı, yardımcı araçlar ve bir kontrol paneliyle birlikte internete açık bir hazırlık sunucusunda buldu.
Tuzağın görünümü bir DocuSign imza isteğini taklit ediyor ve ziyaretçilerden bir komutu terminale yapıştırmalarını istiyordu. Bu komut, Cloudflare Quick Tunnel adresi üzerinden kod indirip çalıştırıyordu. Tuzakta macOS komutu gösterilse de kurtarılan dosyalar bir Windows yükü içeriyordu; araştırmacılar buna karşılık gelen bir macOS yükü bulmadı.
Yük, 3,4 MB boyutunda, 64 bitlik bir çalıştırılabilir dosya. Manifestinde asInvoker belirtiliyor; bu nedenle dosya, kendisini başlatan sürecin ayrıcalıklarını devralıyor ve başlangıçta Kullanıcı Hesabı Denetimi (UAC) yükseltmesi istemiyor. Varonis ayrıca Themida, VMProtect, Enigma ve UPX gibi paketleyicilerle ilişkilendirilen adları taşıyan, aynı boyutta 17 bölüm buldu. Ancak araştırmacılara göre bu adlar tek başına söz konusu paketleyicilerin kullanıldığını göstermiyor.
AvisLoader, sabit bir komuta-kontrol etki alanına veya sunucu adresine bağlı kalmak yerine Tox kullanıyor. Kalıcılık kodu masaüstündeki ve görev çubuğundaki kısayolları hedefliyor. Kurtarılan araçlar arasında UACME atlatma projesindeki method 41'e başvuran auto.exe ve bir Windows işlevinin sonuçlarından belirtilen bir süreci filtreleyebilen hmn_hook.dll de bulunuyor. Dosyalar, ayrıcalık yükseltmesinin başarılı olduğunu veya DLL'nin AvisLoader'ı Görev Yöneticisi'nden gizlediğini kanıtlamıyor.
AvisLoader Command Center; istemci, görev ve dosya yönetimi arayüzleri içeriyor. Varonis'in bulguları, ilk ClickFix komutunun, kısayol değişikliklerinin ve beklenmedik Tox trafiğinin izlenmesi gerektiğine işaret ediyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.