AvisLoader is een nieuwe Windows malware loader die via het versleutelde peer-to-peer Tox-netwerk communiceert en zo traditionele verstoringsmethoden ontwijkt.
Onderzoekers van Varonis Threat Labs hebben AvisLoader ontdekt, een nieuwe Windows malware loader die is ontworpen om verstoring tegen te gaan. De loader werd aangetroffen op een openbaar toegankelijke staging server, samen met een ClickFix-lokmiddel, ondersteunende tools en een commandocentrum. De aanval begint met een bekende ClickFix-lokpagina die zich voordoet als een documentondertekeningsverzoek. Bezoekers worden gevraagd een door de aanvaller geleverde opdracht uit te voeren op hun systeem.
Het bijzondere aan AvisLoader is de manier waarop het verbonden blijft met de aanvaller. De loader communiceert via Tox, een versleuteld peer-to-peer (P2P) berichtenprotocol, waarmee opdrachten en extra payloads worden ontvangen. Deze opzet maakt traditionele domein-gebaseerde uitschakelingen moeilijker, omdat het command-and-control (C2) kanaal niet afhankelijk is van een vaste domeinnaam of serveradres. De operator kan zijn identiteit behouden bij het verplaatsen naar een andere server, door simpelweg het Tox save-bestand te kopiëren. Dit mechanisme werd ook genoemd in een cybercrimeforum waar de loader te koop werd aangeboden.
De ClickFix-lokpagina die samen met AvisLoader werd gevonden, was gehost via Cloudflare Workers en deed zich voor als een DocuSign ondertekeningsverzoek. Een nep dialoogvenster voor "Handmatige verificatie" beweert dat verificatie via Cloudflare verloopt en vraagt gebruikers een verificatiecode in een terminal te plakken. De opdracht die op het klembord wordt geplaatst, haalt code op van een Cloudflare Quick Tunnel-adres en voert deze uit, buiten de normale browser-downloadstroom om. Hoewel het lokmiddel een macOS-commando toont, bevatte de blootgestelde map alleen een Windows loader; een macOS payload werd niet aangetroffen.
De Windows payload is een enkele 3,4 MB grote 64-bit executable die zonder verhoogde rechten draait (asInvoker). De loader bevat zeventien secties met namen die verwijzen naar bekende packers zoals Themida, VMProtect, Enigma en UPX, vermoedelijk om analyse te bemoeilijken. De loader is feitelijk een Tox-client die statisch de referentie-implementatie c-toxcore bevat, waarmee het als een peer in het netwerk communiceert. Dit elimineert de afhankelijkheid van een centraal C2-adres, hoewel netwerkverbindingen nog steeds te detecteren zijn.
Voor persistente aanwezigheid richt AvisLoader zich op snelkoppelingen op het bureaublad en in de taakbalk. De executable bevat strings voor het back-uppen van snelkoppelingen en een VBScript launcher met de naam VLCAssistant. Dit mechanisme zorgt ervoor dat de malware wordt gestart wanneer een gebruiker een aangepaste snelkoppeling opent, waarna het beoogde programma normaal wordt gestart om detectie te voorkomen.
