AvisLoader: Novo malware para Windows utiliza rede P2P para evitar deteção

Investigadores descobriram o AvisLoader, um novo malware para Windows que utiliza a rede Tox para comunicações encriptadas e evitar o controlo de domínios.

O que é o AvisLoader e como funciona

Investigadores da Varonis Threat Labs identificaram um novo carregador de malware para Windows, denominado AvisLoader. A ameaça destaca-se pela utilização da rede Tox, um protocolo de mensagens encriptado ponto-a-ponto (P2P), para estabelecer comunicações com o servidor de comando e controlo (C2). Esta abordagem visa tornar a infraestrutura dos atacantes mais difícil de desmantelar, uma vez que não depende de domínios fixos ou endereços IP centralizados.

O processo de infeção começa frequentemente com uma técnica conhecida como ClickFix. Através de páginas que simulam pedidos de assinatura de documentos, como o DocuSign, os atacantes induzem o utilizador a copiar e executar um comando no terminal. Este comando, por sua vez, descarrega e executa o payload malicioso a partir de serviços como o Cloudflare Quick Tunnel, contornando os fluxos de download convencionais dos navegadores.

Características técnicas e persistência

O ficheiro executável do AvisLoader, com cerca de 3,4 MB, foi desenhado para herdar as permissões do processo que o inicia, evitando o pedido de elevação do Controlo de Conta de Utilizador (UAC). A análise revelou ainda:

• Persistência: O malware modifica atalhos no ambiente de trabalho e na barra de tarefas, utilizando um script VBScript (identificado como VLCAssistant) para garantir que o código malicioso é executado sempre que o utilizador abre uma aplicação legítima.
• Ofuscação: O executável contém referências a packers conhecidos como VMProtect e Themida, embora estas pareçam servir apenas para confundir ferramentas de análise e identificação.
• Funcionalidades de controlo: O painel de controlo do AvisLoader permite aos operadores gerir clientes, distribuir ficheiros e executar comandos shell de forma remota, utilizando a rede Tox para a comunicação.

Embora tenham sido encontrados vestígios de ferramentas para contornar o UAC e bibliotecas para ocultar processos (hmn_hook.dll), a sua eficácia depende de configurações específicas do sistema operativo. A utilização de protocolos legítimos, como o Tox, para fins maliciosos sublinha a importância de monitorizar não apenas o tráfego de rede, mas também o comportamento das aplicações no dispositivo.

Como se proteger

Para os utilizadores e administradores de sistemas, a deteção passa pela vigilância de comandos inesperados colados no terminal e pela verificação de alterações suspeitas em atalhos de aplicações. A utilização de ferramentas de gestão de sistema, como o Task Scheduler, deve ser feita com cautela, garantindo que apenas processos conhecidos e autorizados têm permissões de execução.

Fontes

• https://www.bleepingcomputer.com/news/security/inside-avisloader-a-windows-malware-loader-built-to-resist-disruption/