Вредоносный загрузчик AvisLoader получает команды через Tox без постоянного адреса сервера
Изображение: OpenAI
Исследователи Varonis Threat Labs обнаружили новый вредоносный загрузчик AvisLoader для Windows, который получает команды и дополнительные файлы через зашифрованную P2P-сеть Tox. Это усложняет отключение его инфраструктуры. Загрузчик нашли на открытом сервере вместе с приманкой ClickFix и панелью управления, говорится в спонсорском материале Varonis на BleepingComputer.
Канал управления не зависит от постоянного домена или адреса сервера. При переносе на другой сервер оператор может сохранить свой идентификатор в Tox. При этом специалисты по безопасности по-прежнему могут отслеживать сетевые соединения и действия загрузчика на компьютере.
Найденная рядом приманка размещалась на Cloudflare Workers и маскировалась под запрос на подписание документа в DocuSign. Страница просила вставить в терминал команду якобы для проверки Cloudflare. Команда скачивала и запускала код с адреса trycloudflare.com. Однако страница показывала команду для macOS, а на сервере исследователи нашли загрузчик для Windows. Соответствующего файла для macOS среди найденных материалов не было.
В коде AvisLoader исследователи нашли признаки механизма закрепления через изменение ярлыков рабочего стола и панели задач. При открытии такого ярлыка механизм должен запускать вредоносное ПО, а затем нужное пользователю приложение, чтобы оно открывалось как обычно.
Панель управления позволяет настраивать команды и выбирать устройства по аппаратным характеристикам, местоположению и правам администратора. Судя по интерфейсу, команды можно подготовить заранее, чтобы они выполнялись при подключении подходящих устройств.
Varonis рекомендует проверять неожиданный трафик Tox на устройствах, где командные оболочки или скрипты скачивали и запускали удалённый код. При расследовании обращений к workers.dev и trycloudflare.com нужно учитывать содержимое страницы и сопутствующие действия: оба домена обслуживают и легитимные сервисы.
