Во внатрешноста на AvisLoader: малициозен софтвер за Windows создаден да се спротивстави на обидите за негово оневозможување

Истражувачкиот тим Varonis Threat Labs неодамна го откри AvisLoader, нов малициозен софтвер за вчитување (loader) наменет за Windows, именуван според латинскиот збор за птица. Го пронајдовме на изложен сервер за тестирање, заедно со ClickFix-стапица, помошни алатки и неговиот контролен центар.

Нападот започнува со позната ClickFix-стапица. Веб-страница што се претставува како барање за потпишување документ ги наведува посетителите да копираат и да извршат команда доставена од напаѓачот на својот компјутер.

Поинтересниот дел е начинот на кој AvisLoader ја одржува врската. Тој комуницира преку Tox, шифрирана мрежа за размена на пораки од типот peer-to-peer (P2P), преку која операторот испраќа команди и дополнителни малициозни компоненти.

Ваквата поставеност ги отежнува традиционалните обиди за негово отстранување преку блокирање домени. Каналот за командување и контрола (C2) не зависи од фиксен домен или адреса на сервер, а операторите можат да го задржат истиот идентитет и кога ќе се префрлат на друг сервер.

Продавачот го споменува ова во оглас објавен на форум за сајбер-криминал, тврдејќи дека контролорот може да се премести со копирање на неговата датотека за зачувување на Tox, при што клиентите автоматски ќе го следат, без потреба од домен.

Во овој напис ќе разгледаме како функционира AvisLoader, кои техники од рамката MITRE ATT&CK ги користи и кои индикатори можат да им помогнат на безбедносните тимови да го откријат.

Дистрибуција преку ClickFix и Cloudflare

Конкретната ClickFix-стапица што ја пронајдовме заедно со AvisLoader била хостирана на Cloudflare Workers и била направена да изгледа како барање за потпишување документ преку DocuSign.

Лажен дијалог со наслов „Manual verification“ („Рачна проверка“) тврди дека „Проверката ја врши Cloudflare“ и бара од посетителите да залепат „код за верификација“ во терминал. Извршувањето на командата е претставено како неопходен чекор за пристап до документот.

Она што завршува во привремената меморија за копирање (clipboard) е команда што презема и извршува код од адреса на Cloudflare Quick Tunnel на доменот trycloudflare.com. Преземањето и понатаму се случува, но преку залепената команда, надвор од вообичаениот процес за преземање датотеки во прелистувачот.

Иако стапицата прикажува команда за macOS, изложениот директориум содржел малициозен софтвер за вчитување наменет за Windows. Меѓу пронајдените датотеки не пронајдовме соодветна верзија на малициозниот софтвер наменета за macOS.

Во внатрешноста на малициозниот софтвер за вчитување

Извршната датотека за Windows е единечна 64-битна датотека со големина од 3,4 MB. Нејзиниот манифест ја наведува поставката asInvoker, што значи дека датотеката ги наследува привилегиите на процесот што ја стартува, без при стартувањето да бара зголемување на привилегиите преку User Account Control (UAC).

Нејзината табела со секции содржи уште седумнаесет дополнителни секции со идентична големина, чии имиња се поврзани со познати алатки за пакување и заштита на извршни датотеки, вклучувајќи ги Themida, VMProtect, Enigma и UPX. Ниту една од овие секции не е означена како извршна.

Се чини дека овие имиња се наменети да ја отежнат идентификацијата на алатката за пакување (packer). Сепак, самите имиња не се доволен доказ дека навистина била користена некоја од тие алатки.

Во основата, ова е Tox-клиент. Извршната датотека статички ја поврзува библиотеката c-toxcore, референтната имплементација на протоколот Tox, а во неа е зачувана и патеката до директориумот за развој на авторот: C:\Users\dev\Desktop\c-toxcore.

Користењето на Tox му овозможува на малициозниот софтвер за вчитување да комуницира со својот контролер како уште еден учесник во мрежата. Со тоа се отстранува зависноста од една централизирана адреса за командување и контрола (C2). Сепак, мрежните врски и понатаму можат да се набљудуваат заедно со активностите на малициозниот софтвер на заразениот компјутер.

Зголемување на привилегиите, постојаност и прикривање

Кодот на AvisLoader за одржување постојаност на системот е насочен кон кратенките на работната површина и во папката со кратенки прикачени на лентата со задачи.

Извршната датотека содржи текстуални низи поврзани со правење резервни копии на кратенките и VBScript-скрипта за стартување поврзана со името VLCAssistant. Овие артефакти укажуваат на механизам дизајниран да го стартува малициозниот софтвер кога корисникот ќе отвори изменета кратенка, а потоа да ја стартува и предвидената апликација, така што ќе изгледа дека таа се отвора нормално.

Меѓу обновените датотеки се наоѓа и auto.exe, мала помошна програма што упатува на методот 41 од UACME, јавен проект за заобиколување на механизмот User Account Control (UAC) во Windows.

Текстуалните низи во датотеката го идентификуваат интерфејсот ICMLuaUtil и механизмот за зголемување на привилегиите преку Component Object Model (COM), поврзан со таа техника.

Помошната програма содржи и предупредување дека поновите верзии на Windows можеби го блокираат ова заобиколување. Затоа, самото нејзино присуство не докажува дека успешно биле зголемени привилегиите.

Посебна библиотека со динамички врски (DLL), hmn_hook.dll, обезбедува функционалност за прикривање процеси. Таа ја пресретнува функцијата NtQuerySystemInformation, која Windows ја користи за добивање информации за процесите, и отстранува од резултатите одредено име на процес.

Ова би можело да го сокрие тој процес од софтвер што ја користи пресретнатата функција. Сепак, обновените датотеки не докажуваат дека DLL-библиотеката била вчитана во Task Manager (Управувачот со задачи) или дека била искористена за прикривање на самиот AvisLoader.

Контролниот центар на AvisLoader

Обновените алатки ни даваат увид во можностите на AvisLoader за управување со заразените крајни уреди. Неговиот веб-панел, наречен AvisLoader Command Center (Контролен центар на AvisLoader), покажува како операторите треба да управуваат со клиентите, да конфигурираат задачи и да дистрибуираат датотеки.

Контролната табла прикажува број на вкупни клиенти, клиенти што се онлајн и клиенти што се офлајн, заедно со карта на светот.

Табелата „Clients“ (Клиенти) содржи полиња за името на компјутерот (hostname), државата, централната процесорска единица (CPU), графичкиот процесор (GPU), антивирусниот софтвер, статусот на администратор и јавниот клуч.

Овие полиња ги обединуваат информациите за заразените компјутери на едно место. Полето за јавен клуч е во согласност со моделот на дигитален идентитет на учесниците што го користи мрежата Tox.

Картичката „Tasks“ (Задачи) им овозможува на операторите да конфигурираат команди за командната линија (shell commands) и да избираат клиенти според хардверот, локацијата и статусот на администратор.

Контролите укажуваат дека системот поддржува задачи што се извршуваат кога соодветните клиенти ќе се поврзат на интернет. Тоа им овозможува на операторите однапред да ги подготват командите, пред да се воспостави врска со клиентот.

Картичката „Files“ (Датотеки) обезбедува интерфејс за подготовка и поставување датотеки за дистрибуција, со опис дека тие се испорачуваат „до клиентите преку Tox“.

Ова им овозможува на операторите да подготвуваат дополнителни малициозни компоненти (payloads) за дистрибуција до заразените компјутери.

Мерки за заштита и клучни заклучоци

AvisLoader им нуди на безбедносните тимови неколку можности за откривање на заканата — од почетната команда ClickFix, преку измените на кратенките, до неочекуваниот сообраќај преку Tox. Начинот на испорака и пронајдените датотеки укажуваат на четири области што треба да се следат:

1. Третирајте ги како сомнителни страниците за потпишување или проверка на документи што бараат од корисниците да копираат и вметнат команди во терминал или во прозорецот Windows Run. Корисниците треба да ги пријават ваквите барања пред да ја извршат командата.

2. Истражувајте ги непознатите адреси на workers.dev и trycloudflare.com кога ќе се појават во измамнички пораки или страници поврзани со потпишување документи, или во команди што преземаат и извршуваат код. Двата домена поддржуваат легитимни услуги, па при процената треба да се земат предвид содржината на страницата и активностите поврзани со неа.

3. Следете ги командните школки и интерпретаторите на скрипти што преземаат и извршуваат код од далечински сервери, особено кога таквата активност следува по посетата на сомнителна страница. Проверувајте дали на истиот уред има неочекуван сообраќај преку Tox или други peer-to-peer протоколи. Команда што корисникот ја копирал и вметнал може да се изврши без прелистувачот да се појави како нејзин родителски процес.

4. Барајте изменети кратенки на работната површина и на лентата со задачи, поврзани датотеки со наставката .backup и референци кон VLCAssistant. Истражете ги совпаѓањата со пронајдените примероци auto.exe и hmn_hook.dll, а потоа проверете ги околните активности за обиди за добивање повисоки привилегии или за поставување hooks за следење на листата на процеси.

Што научивме од AvisLoader

AvisLoader обединува познати техники на малициозен софтвер околу платформата Tox. Пронајдениот примерок за Windows содржи траги од механизми за постојано задржување во системот преку кратенки, додека неговиот Command Center нуди задачи за извршување команди во школка и испорака на датотеки преку шифрирана peer-to-peer врска.

За безбедносните тимови, ова значи дека легитимен протокол за размена на пораки може да се користи и за пренос на команди од операторите и за испорака на дополнителен малициозен софтвер. За правилно разбирање на таквиот сообраќај, потребно е да се испита апликацијата што стои зад него, што прави на уредот и со кои мрежи се поврзува.

Придружете им се на Varonis на State of Cybercrime за кратки и корисни информации за безбедноста на податоците, откривањето закани, безбедноста на вештачката интелигенција и многу повеќе.

Извори:

• Bleeping Computer – Inside AvisLoader: A Windows Malware Loader Built to Resist Disruption Bleeping Computer