AvisLoader: nowy loader malware dla Windows wykorzystuje Tox i utrudnia przejęcie infrastruktury

securitybeztabu.pl 7 godzin temu

Wprowadzenie do problemu / definicja

AvisLoader to nowo opisywany loader malware przeznaczony dla systemu Windows, którego zadaniem jest dostarczanie poleceń oraz kolejnych ładunków do zainfekowanych hostów. Na tle wielu podobnych zagrożeń wyróżnia go wykorzystanie szyfrowanej sieci peer-to-peer Tox zamiast klasycznej infrastruktury command-and-control opartej na domenach i centralnych serwerach.

Taki model komunikacji zwiększa odporność operacyjną kampanii, ponieważ utrudnia tradycyjne działania obronne polegające na blokowaniu domen, adresów IP lub przejmowaniu pojedynczych punktów infrastruktury. W praktyce AvisLoader wpisuje się w trend malware projektowanego z myślą o większej elastyczności i trudniejszym zakłócaniu działań operatorów.

W skrócie

AvisLoader jest dystrybuowany m.in. poprzez socjotechnikę ClickFix.
Ofiara jest nakłaniana do manualnego uruchomienia polecenia pobierającego złośliwy kod.
Loader korzysta z biblioteki c-toxcore i komunikuje się przez sieć Tox.
Próbka zawiera mechanizmy trwałości, elementy związane z obejściem UAC oraz ukrywaniem procesów.
Zagrożenie może służyć jako etap pośredni do dostarczania stealerów, trojanów dostępowych lub ransomware.

Kontekst / historia

Loadery malware od lat pełnią rolę warstwy pośredniej pomiędzy początkowym dostępem a dostarczeniem adekwatnego ładunku. Ich znaczenie rośnie, ponieważ pozwalają operatorom elastycznie zmieniać końcowy cel ataku bez konieczności przebudowy całego łańcucha infekcji.

W ostatnich latach cyberprzestępcy coraz częściej odchodzą od prostych i łatwo blokowalnych serwerów C2. Zamiast tego wykorzystują rozwiązania rozproszone, legalne usługi internetowe oraz protokoły utrudniające przypisanie i zakłócenie komunikacji. AvisLoader dobrze wpisuje się w ten kierunek, łącząc znaną technikę socjotechniczną ClickFix z mniej typowym kanałem operatorskim opartym na Tox.

ClickFix bazuje na przekonaniu użytkownika do samodzielnego uruchomienia komendy pod pozorem podpisania dokumentu, weryfikacji lub naprawy problemu z dostępem. To skuteczne obejście części klasycznych zabezpieczeń, ponieważ inicjatywa wykonania szkodliwego polecenia formalnie pochodzi od samej ofiary.

Analiza techniczna

Zaobserwowany łańcuch infekcji rozpoczyna się od fałszywej strony udającej legalny proces podpisu dokumentu. Użytkownik otrzymuje instrukcję skopiowania i uruchomienia polecenia, które pobiera kod z adresu tunelowanego i uruchamia go poza standardowym schematem pobierania pliku przez przeglądarkę. Taki sposób działania może utrudniać część analiz behawioralnych opartych na korelacji aktywności przeglądarki z pobieranym plikiem.

Analizowany ładunek dla Windows to 64-bitowy plik wykonywalny o rozmiarze około 3,4 MB. Manifest wskazuje tryb asInvoker, co oznacza dziedziczenie uprawnień procesu uruchamiającego bez jawnego żądania podniesienia uprawnień przez UAC przy starcie. Dodatkowo plik zawiera liczne sekcje nazwami przypominające artefakty znane z popularnych packerów, co może utrudniać szybką klasyfikację próbki.

Kluczowym komponentem jest statyczne powiązanie z implementacją c-toxcore. Dzięki temu AvisLoader działa jak klient Tox i utrzymuje komunikację z operatorem w modelu peer-to-peer. Z perspektywy atakującego oznacza to mniejszą zależność od jednej domeny lub pojedynczego serwera, a także większą odporność na klasyczne działania typu takedown.

Mechanizmy trwałości wskazują na modyfikację skrótów na pulpicie oraz w katalogu przypiętych elementów paska zadań. Obecność kopii zapasowych skrótów i skryptu VBScript sugeruje scenariusz, w którym uruchomienie zmodyfikowanego skrótu najpierw aktywuje malware, a dopiero później otwiera oczekiwaną aplikację. Taki model zmniejsza prawdopodobieństwo wykrycia przez użytkownika, ponieważ legalny program przez cały czas wydaje się działać prawidłowo.

W odzyskanych artefaktach znajdował się również komponent odnoszący się do publicznie znanych technik obejścia UAC z wykorzystaniem ICMLuaUtil oraz mechanizmu COM elevation. Sama obecność takiego modułu nie oznacza automatycznie skutecznej eskalacji uprawnień, ale wskazuje, iż operatorzy przewidzieli taki etap w dalszym przebiegu infekcji.

Dodatkowa biblioteka DLL odpowiada za ukrywanie procesów poprzez przechwytywanie wywołania NtQuerySystemInformation i filtrowanie określonej nazwy procesu z wyników. To klasyczna technika user-mode hooking, która może ograniczać widoczność złośliwej aktywności dla części narzędzi diagnostycznych i administracyjnych.

W opisywanym ekosystemie istotną rolę odgrywa także panel operatorski określany jako Command Center. Z dostępnych opisów wynika, iż pozwala on zarządzać klientami, tworzyć zadania powłoki, filtrować hosty według parametrów sprzętowych i geograficznych oraz dystrybuować dodatkowe pliki przez Tox. To sugeruje, iż AvisLoader jest czymś więcej niż prostym downloaderem i stanowi element bardziej rozwiniętej platformy operacyjnej.

Konsekwencje / ryzyko

Największe ryzyko związane z AvisLoader nie wynika wyłącznie z samego loadera, ale z jego funkcji jako nośnika kolejnych etapów ataku. Po uzyskaniu trwałej obecności w systemie może on służyć do dostarczania infostealerów, trojanów zdalnego dostępu, narzędzi post-exploitation, a choćby ransomware.

Z perspektywy obrońców problematyczne są trzy elementy. Po pierwsze, ClickFix omija część automatycznych zabezpieczeń, ponieważ użytkownik sam wykonuje polecenie. Po drugie, komunikacja przez Tox osłabia skuteczność mechanizmów opartych wyłącznie na blokowaniu domen i reputacji adresów. Po trzecie, trwałość infekcji oraz techniki ukrywania procesów utrudniają analizę incydentu i zwiększają szansę na dłuższą obecność intruza w środowisku.

W środowiskach firmowych dodatkowym zagrożeniem jest możliwość selektywnego wydawania poleceń konkretnym hostom, przygotowywania zadań uruchamianych po ponownym połączeniu klienta oraz dostarczania różnych plików zależnie od wartości celu. To oznacza większą elastyczność kampanii i trudniejsze przewidywanie kolejnych działań operatora.

Rekomendacje

Organizacje powinny traktować każdą stronę proszącą użytkownika o wklejenie polecenia do terminala, PowerShella lub okna Uruchom jako sygnał wysokiego ryzyka. W programach awareness warto jasno komunikować, iż legalne usługi podpisu dokumentów czy weryfikacji tożsamości nie wymagają manualnego uruchamiania komend systemowych.

Na poziomie telemetrycznym warto monitorować następujące zdarzenia:

uruchomienia interpretera poleceń i skryptów bezpośrednio po wejściu na podejrzaną stronę,
pobieranie i wykonanie kodu z nietypowych adresów tunelowanych,
ruch Tox lub inny niespodziewany ruch P2P z hostów użytkowników końcowych,
modyfikacje skrótów pulpitu i przypiętych skrótów paska zadań,
artefakty wskazujące na próby obejścia UAC,
anomalie związane z hookowaniem funkcji systemowych odpowiedzialnych za enumerację procesów.

W praktyce obronnej zasadne jest również rozszerzenie reguł EDR o detekcje korelujące kilka zdarzeń jednocześnie, takich jak wejście na stronę przynęty, uruchomienie shella, pobranie pliku wykonywalnego, modyfikacja skrótów oraz pojawienie się nietypowego ruchu sieciowego. Takie podejście bywa skuteczniejsze niż pojedyncze IOC, szczególnie gdy przeciwnik korzysta z legalnych usług i rozproszonego kanału komunikacji.

Zespoły SOC powinny też rozważyć aktywny hunting pod kątem artefaktów związanych z mechanizmami trwałości, kopiami skrótów, skryptami pomocniczymi oraz bibliotekami odpowiedzialnymi za ukrywanie procesów. Każdy taki sygnał powinien uruchamiać szerszą analizę hosta pod kątem dodatkowych ładunków oraz ewentualnego ruchu bocznego.

Podsumowanie

AvisLoader pokazuje ewolucję klasycznych loaderów Windows w kierunku większej odporności operacyjnej. Wykorzystanie Tox jako kanału komunikacji ogranicza skuteczność prostych działań opartych na blokadzie domen, a połączenie z ClickFix zwiększa skuteczność początkowej infekcji poprzez manipulację użytkownikiem.

Dodatkowe funkcje związane z trwałością, próbami obejścia UAC oraz ukrywaniem procesów sprawiają, iż jest to interesujący przykład nowoczesnego malware pośredniczącego. Dla obrońców najważniejszy wniosek pozostaje niezmienny: skuteczna detekcja takich kampanii wymaga łączenia obserwacji zachowań użytkownika, aktywności procesów, zmian w systemie plików oraz nietypowej komunikacji sieciowej.