Recentemente, o Varonis Threat Labs identificou o AvisLoader, um novo loader de malware para Windows, que se destaca por sua capacidade de resistir a interrupções. O nome AvisLoader deriva do latim, que significa “pássaro”. A descoberta ocorreu em um servidor de staging exposto, onde o AvisLoader estava presente ao lado de uma isca ClickFix e outras ferramentas de suporte.
A operação do AvisLoader se inicia com uma isca familiar, onde uma página se apresenta como um pedido de assinatura de documento. Os visitantes são induzidos a copiar e executar um comando fornecido pelo atacante em suas máquinas. O diferencial do AvisLoader é sua comunicação via Tox, uma rede de mensagens peer-to-peer (P2P) criptografada, que permite ao operador enviar comandos e cargas adicionais. Essa configuração dificulta ações tradicionais de derrubada de domínios, já que o canal de comando e controle (C2) não depende de um endereço fixo.
De acordo com a análise, o vendedor do AvisLoader menciona em um fórum de cibercrime que a identidade do controlador pode ser mantida mesmo ao mudar de servidor, bastando copiar um arquivo de salvamento do Tox. Isso permite que os clientes continuem a seguir o operador sem a necessidade de um domínio específico.
O AvisLoader foi encontrado junto a uma isca ClickFix, que estava hospedada no Cloudflare Workers. A isca foi projetada para parecer um pedido de assinatura do DocuSign, apresentando um diálogo falso de “Verificação manual” que solicita aos visitantes que insiram um código de verificação em um terminal. O comando que acaba sendo colado é responsável por recuperar e executar código de um endereço do Cloudflare Quick Tunnel.
O payload do AvisLoader é um executável de 3,4 MB, que não solicita elevação de privilégios ao ser iniciado, herdando as permissões do processo que o inicia. A estrutura do arquivo contém seções nomeadas associadas a empacotadores conhecidos, como Themida e VMProtect, mas nenhuma delas está marcada como executável, o que parece ser uma estratégia para confundir a identificação de empacotadores.
O AvisLoader utiliza um cliente Tox, permitindo que o loader se comunique com seu controlador como um par na rede, eliminando a dependência de um único endereço de comando e controle centralizado. Apesar disso, as conexões de rede permanecem observáveis junto à atividade do loader no host.
Além disso, o código de persistência do AvisLoader é projetado para atacar atalhos na área de trabalho e na pasta de atalhos fixados na barra de tarefas. O executável contém strings de backup de atalho e um lançador em VBScript, que visam iniciar o malware quando um atalho modificado é aberto, fazendo com que o aplicativo pretendido pareça ser iniciado normalmente.
Com a presença de um pequeno helper que faz referência a um método de bypass do User Account Control (UAC), o AvisLoader demonstra um nível de sofisticação que pode complicar a detecção e mitigação por parte das equipes de segurança. A situação destaca a necessidade de vigilância contínua e atualização das defesas contra ameaças emergentes.
O futuro do AvisLoader e suas variantes poderá trazer novos desafios para a segurança cibernética, especialmente considerando sua capacidade de adaptação e resistência a medidas de interrupção.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews