Inside AvisLoader: یک لودر بدافزار ویندوز که برای مقاومت در برابر اختلال ساخته شده است

Varonis Threat Labs اخیرا AvisLoader را کشف کرده است، یک لودر ویندوز جدید که نام آن از کلمه لاتین پرنده گرفته شده است. ما آن را در یک سرور مرحله‌ای در معرض نمایش در کنار یک کلیک کلیک، ابزارهای پشتیبانی و مرکز فرماندهی آن یافتیم.

حمله با یک فریب آشنای ClickFix شروع می شود. صفحه ای که به عنوان یک درخواست امضای سند مطرح می شود از بازدیدکنندگان می خواهد که یک فرمان ارائه شده توسط مهاجم را روی دستگاه خود کپی کرده و اجرا کنند.

بخش جالب تر این است که چگونه AvisLoader متصل می ماند. از طریق Tox، یک شبکه پیام‌رسان همتا به همتا (P2P) رمزگذاری شده که دستورات و بارهای اضافی را از اپراتور حمل می‌کند، ارتباط برقرار می‌کند.

این راه‌اندازی حذف‌های مبتنی بر دامنه سنتی را سخت‌تر می‌کند. کانال فرمان و کنترل (C2) به یک دامنه یا آدرس سرور ثابت بستگی ندارد و اپراتورها می توانند هویت یکسانی را هنگام انتقال به سرور دیگری حفظ کنند.

فروشنده به این موضوع در فهرست تالار گفتمان جرایم سایبری اشاره می‌کند و ادعا می‌کند که کنترلر را می‌توان با کپی کردن فایل ذخیره Tox آن جابه‌جا کرد و مشتریان بدون نیاز به دامنه آن را دنبال می‌کنند.

در این پست، ما به نحوه عملکرد AvisLoader، تکنیک‌های MITER ATT&CK که استفاده می‌کند و شاخص‌هایی که تیم‌های امنیتی می‌توانند برای شناسایی آن استفاده کنند، نگاه می‌کنیم.

فریب خاص ClickFix که در کنار AvisLoader پیدا کردیم در Cloudflare Workers میزبانی شد و شبیه درخواست امضای DocuSign شد.

یک گفتگوی جعلی «تأیید دستی» ادعا می‌کند «تأیید توسط Cloudflare انجام می‌شود» و از بازدیدکنندگان می‌خواهد «کد تأیید» را در ترمینال جای‌گذاری کنند. اجرای دستور را به عنوان یک مرحله مورد نیاز برای دسترسی به سند ارائه می دهد.

آنچه در کلیپ بورد قرار می گیرد دستوری است که کد را از آدرس تونل سریع Cloudflare در trycloudflare.com بازیابی و اجرا می کند. دانلود همچنان انجام می شود، اما از طریق دستور pasted، خارج از جریان دانلود معمولی مرورگر.

اگرچه فریب یک فرمان macOS را نشان می دهد، دایرکتوری در معرض نمایش حاوی یک لودر ویندوز است. ما در میان فایل‌های بازیابی شده، یک محموله macOS مربوطه پیدا نکردیم.

پیلود ویندوز یک فایل اجرایی 64 بیتی 3.4 مگابایتی است. مانیفست آن asInvoker را مشخص می‌کند، به این معنی که امتیازات فرآیندی را به ارث می‌برد که آن را بدون درخواست افزایش کنترل حساب کاربری (UAC) در هنگام راه‌اندازی راه‌اندازی می‌کند.

جدول بخش آن شامل هفده بخش اضافی با اندازه یکسان، با نام‌های مرتبط با بسته‌کننده‌های معروف، از جمله Themida، VMProtect، Enigma، و UPX است. هیچ کدام قابل اجرا علامت گذاری نشده است.

به نظر می‌رسد که این نام‌ها برای ایجاد اشتباه در شناسایی بسته‌کننده‌ها هستند، اگرچه نام‌ها به تنهایی نشان نمی‌دهند که هیچ یک از آن بسته‌کننده‌ها استفاده شده است.

در زیر، مشتری Tox است. فایل اجرایی c-toxcore، پیاده سازی مرجع پروتکل Tox را به صورت ایستا پیوند می دهد و مسیر ساخت توسعه دهنده، C:\Users\dev\Desktop\c-toxcore را حفظ می کند.

استفاده از Tox به لودر اجازه می دهد تا با کنترل کننده خود به عنوان همتای دیگر در شبکه ارتباط برقرار کند. این اتکا به یک آدرس کنترل و فرمان متمرکز را از بین می برد، اما اتصالات شبکه در کنار فعالیت لودر روی میزبان قابل مشاهده باقی می مانند.

کد پایداری AvisLoader میانبرهای روی دسکتاپ و در پوشه نوار وظیفه پین ​​شده را هدف قرار می دهد. فایل اجرایی شامل رشته های میانبر پشتیبان و یک راه اندازی VBScript مرتبط با نام VLCAssistant است. این مصنوعات مکانیزمی را نشان می‌دهند که برای راه‌اندازی بدافزار طراحی شده است، زمانی که کاربر میانبر اصلاح شده را باز می‌کند، سپس برنامه مورد نظر را شروع می‌کند تا به نظر عادی باز شود.

فایل های بازیابی شده همچنین شامل auto.exe هستند، یک کمک کننده کوچک که به روش 41 از UACME، یک پروژه دور زدن کنترل حساب کاربری عمومی (UAC) ارجاع می دهد. رشته های آن رابط ICMLuaUtil و مکانیسم ارتفاع مدل شیء جزء (COM) مرتبط با آن تکنیک را شناسایی می کند.

کمک کننده همچنین هشدار می دهد که نسخه های به روز ویندوز ممکن است دور زدن را کاهش دهد، بنابراین وجود آن ارتفاع موفقیت آمیز ایجاد نمی کند.

یک کتابخانه پیوند پویا جداگانه (DLL)، hmn_hook.dll، عملکرد پنهان کردن فرآیند را فراهم می کند. NtQuerySystemInformation را که یک تابع ویندوزی است که برای بازیابی اطلاعات فرآیند استفاده می شود، قلاب می کند و نام فرآیند مشخص شده را از نتایج فیلتر می کند. این می‌تواند آن فرآیند را از نرم‌افزار با استفاده از تابع hooked پنهان کند، اما فایل‌های بازیابی شده نشان نمی‌دهند که DLL در Task Manager بارگذاری شده است یا برای پنهان کردن خود AvisLoader استفاده شده است.

ابزارهای بازیابی شده به ما دیدی از قابلیت های نقطه پایانی AvisLoader می دهند. پنل وب آن، با نام تجاری AvisLoader Command Center، نشان می دهد که چگونه اپراتورها برای مدیریت کلاینت ها، پیکربندی وظایف و توزیع فایل ها در نظر گرفته شده اند.

داشبورد شامل تعداد کل مشتریان آنلاین، آنلاین و آفلاین به همراه نقشه جهان است.

جدول Clients شامل فیلدهایی برای نام میزبان، کشور، واحد پردازش مرکزی (CPU)، واحد پردازش گرافیکی (GPU)، آنتی ویروس، وضعیت سرپرست و یک کلید عمومی است. این فیلدها اطلاعات میزبان را در یک نمای قرار می دهند. زمینه کلید عمومی با مدل هویت همتا Tox سازگار است.

تب Tasks به اپراتورها اجازه می دهد تا دستورات پوسته را پیکربندی کنند و مشتریان را بر اساس سخت افزار، موقعیت مکانی و وضعیت سرپرست انتخاب کنند. کنترل‌های آن نشان‌دهنده پشتیبانی از وظایفی است که هنگام آنلاین شدن کلاینت‌های منطبق اجرا می‌شوند و به اپراتورها اجازه می‌دهند تا دستورات را قبل از اتصال مشتری آماده کنند.

برگه Files یک رابط برای مرحله‌بندی فایل‌ها ارائه می‌کند و تحویل «به مشتریان از طریق Tox» را توضیح می‌دهد. این به اپراتورها راهی می دهد تا بارهای اضافی را برای توزیع آماده کنند.

AvisLoader به تیم های امنیتی چندین فرصت برای شناسایی می دهد، از دستور اولیه ClickFix گرفته تا تغییرات میانبر و ترافیک غیرمنتظره Tox. تنظیمات تحویل و فایل های بازیابی شده به چهار حوزه برای نظارت اشاره دارد:

AvisLoader تکنیک های بدافزار آشنا را در اطراف Tox گرد هم می آورد. نمونه ویندوز بازیابی شده شامل مصنوعات میانبر پایدار است، در حالی که مرکز فرماندهی آن وظایف پوسته و تحویل فایل را از طریق یک اتصال همتا به همتا رمزگذاری شده ارائه می دهد.

برای تیم‌های امنیتی، این بدان معناست که یک پروتکل پیام‌رسان قانونی می‌تواند فرمان‌های اپراتور و بدافزار اضافی را نیز حمل کند. درک اینکه ترافیک به معنای نگاه کردن به برنامه پشت آن و کارهایی است که روی دستگاه انجام می دهد، در کنار اتصالات شبکه ای که ایجاد می کند.

به Varonis در وضعیت جرایم سایبری بپیوندید تا بینش‌های کوچکی در مورد امنیت داده‌ها، تشخیص تهدید، امنیت هوش مصنوعی و موارد دیگر کسب کنید.