Новый загрузчик для Windows под названием AvisLoader обнаружен на открытом сервере, который злоумышленники использовали для подготовки атак. Рядом лежали приманка ClickFix, вспомогательные утилиты и центр управления. Загрузчик - это программа, которая доставляет на устройство жертвы и запускает основной вредоносный код. Особенность AvisLoader в том, что он не обращается к постоянному серверу. Команды приходят по зашифрованной одноранговой сети Tox, где участники соединяются напрямую. Для бизнеса и госсектора это означает одно: привычная блокировка по домену перестаёт работать.
Описание
Схема заражения начинается с приманки ClickFix - приёма, при котором жертву убеждают вставить готовую команду в терминал самостоятельно. Поддельная страница выдаёт себя за запрос на подписание документа. Всплывающее окно с ручной проверкой уверяет, что проверку проводит Cloudflare, и предлагает вставить код подтверждения. Пользователю объясняют, что без этого шага документ не откроется. В буфере обмена оказывается команда, которая скачивает и запускает код с временного адреса туннеля Cloudflare. Файл попадает на компьютер, но не через обычную загрузку в браузере.
Исследование Varonis Threat Labs показало, что текст приманки имитировал команду для macOS, однако в открытом каталоге лежал вредоносный файл для Windows. Программы для macOS среди найденных образцов не оказалось.
Сам исполняемый файл для Windows занимает 3,4 мегабайта и рассчитан на 64-битные системы. Его манифест указывает запуск без запроса повышения прав: программа наследует права того процесса, который её вызвал. В таблице разделов присутствуют семнадцать дополнительных блоков одинакового размера. Их имена совпадают с названиями известных упаковщиков - Themida, VMProtect, Enigma и UPX. Упаковщик сжимает и запутывает код, затрудняя разбор. Ни один из разделов не помечен исполняемым, а сами имена, судя по всему, призваны запутать анализ.
Внутри AvisLoader работает как клиент сети Tox. Библиотека протокола встроена в файл целиком, и рядом остался служебный путь разработчика. Обмен идёт напрямую между участниками сети, а не через единый командно-контрольный сервер (C2-сервер). Продавец на криминальной площадке утверждает, что для переноса управления достаточно скопировать файл сохранения Tox, и клиенты переключатся сами, без нового адреса. Заблокировать такой канал по домену или IP-адресу не получится. Сетевые соединения при этом остаются наблюдаемыми.
Для закрепления в системе AvisLoader правит ярлыки на рабочем столе и в закреплённой области панели задач. В файле сохранились строки резервного копирования ярлыков и сценарий-запускатор под именем VLCAssistant. Механизм выглядит так: пользователь открывает изменённый ярлык, сначала стартует вредоносная программа, а затем запускается ожидаемое приложение. Со стороны всё выглядит обычным открытием программы. Отдельная вспомогательная утилита ссылается на публичный проект обхода контроля учётных записей UAC - механизма Windows, который запрашивает подтверждение при повышении прав. В её текстовых строках есть оговорка, что новые версии системы могут закрыть этот приём, так что об успешном обходе речи не идёт.
Ещё одна динамическая библиотека (DLL - модуль с кодом, который подгружается в чужой процесс) отвечает за сокрытие процессов. Она перехватывает системную функцию, возвращающую список запущенных программ, и вырезает из результата заданное имя. Так процесс может исчезнуть из поля зрения средств мониторинга. Подтверждений, что библиотеку действительно загружали в диспетчер задач или применяли против самого AvisLoader, нет.
Панель управления оператора, которую продавец назвал AvisLoader Command Center, показывает, как устроена работа с заражёнными машинами. На ней счётчики подключённых, активных и отключённых устройств, а также карта мира. Таблица клиентов собирает имя компьютера, страну, процессор, видеокарту, антивирус, статус администратора и открытый ключ. Последнее поле совпадает с моделью узла в Tox. Раздел задач позволяет задавать команды для командной оболочки и выбирать машины по железу, географии и правам доступа. Часть задач срабатывает автоматически, когда подходящий клиент выходит на связь. Раздел файлов служит для подготовки дополнительных полезных нагрузок и доставки их по Tox.
Защита опирается на несколько правил. Любую страницу, которая просит вставить команду в терминал или окно запуска Windows, разумно считать подозрительной и сообщать о ней до запуска. Незнакомые адреса сервисов Cloudflare в приманках о подписании документов заслуживают проверки: сами сервисы легитимны, поэтому смотреть надо на содержимое страницы и на события вокруг. Полезно следить за командными оболочками, которые загружают и выполняют удалённый код, особенно если перед этим пользователь открывал подозрительную страницу. Изменённые ярлыки, файлы их резервных копий и упоминания VLCAssistant помогают найти следы заражения; совпадения по вспомогательным образцам изучают вместе с окружающей активностью и попытками повышения прав.
AvisLoader собирает давно известные приёмы вокруг легитимного протокола обмена сообщениями. Зашифрованная переписка сети Tox передаёт оператору команды и новые вредоносные файлы, а ярлыки и скрытие процессов помогают закрепиться незаметно. Разбирать такой трафик приходится не по адресам, а по тому, какое приложение стоит за соединением и что оно делает на устройстве.
Индикаторы компрометации
