Onderzoekers van Varonis Threat Labs hebben een nieuwe Windows-malware-loader ontdekt die de naam AvisLoader draagt, vernoemd naar het Latijnse woord voor vogel. De loader onderscheidt zich doordat de communicatie met de aanvallers verloopt via het peer-to-peer-netwerk Tox, waardoor er geen vast domein of serveradres is dat beveiligingsteams kunnen blokkeren. De malware wordt bovendien actief te koop aangeboden op een cybercrimeforum.
Besmetting via nep-verificatiepagina
Varonis vond AvisLoader op een onbeveiligde staging-server, samen met het bijbehorende lokaas, ondersteunende tools en een beheerpaneel. De verspreiding verloopt via de inmiddels bekende ClickFix-methode: een nagemaakte DocuSign-pagina toont een melding dat “handmatige verificatie” nodig is en vraagt bezoekers een code in een terminalvenster te plakken. Het gekopieerde commando haalt in werkelijkheid code op via een Cloudflare Quick Tunnel-adres en voert die meteen uit, buiten de normale downloadprocedure van de browser om. Opvallend genoeg toont de lokaaspagina, die op Cloudflare Workers draait, een commando voor macOS, terwijl de daadwerkelijk aangetroffen payload een Windows-programma is. Een Mac-variant is niet gevonden.
Persistentie via snelkoppelingen
De loader zelf is een los uitvoerbaar bestand van 3,4 MB dat start zonder verhoogde rechten. Het bevat zeventien extra secties met namen van bekende packers zoals Themida, VMProtect en Enigma. Volgens Varonis bewijst dat niet dat die packers daadwerkelijk zijn gebruikt; de namen lijken vooral bedoeld om analisten op het verkeerde been te zetten. Voor persistentie richt AvisLoader zich op snelkoppelingen op het bureaublad en in de taakbalk. De malware maakt een back-up van de originele snelkoppeling en vervangt die door een variant die eerst een VBScript-launcher met de naam “VLCAssistant” start, voordat de bedoelde applicatie alsnog gewoon opent. Zo valt de infectie slachtoffers nauwelijks op.
Het sample bevat daarnaast verwijzingen naar een bekende UAC-bypass en een DLL die systeemaanroepen onderschept om een opgegeven proces uit de procesweergave te filteren. Varonis benadrukt dat de aanwezigheid van die onderdelen geen bewijs is dat ze ook succesvol zijn ingezet.
Command-and-control zonder vast adres
Het meest kenmerkende onderdeel is de command-and-control via Tox, een versleuteld peer-to-peer-protocol. Omdat er geen centrale serverinfrastructuur is om offline te halen, kan een operator door het Tox-bestand naar een andere server te kopiëren dezelfde identiteit behouden en de infrastructuur verplaatsen zonder dat clients de verbinding verliezen. Het bijbehorende beheerpaneel toont een wereldkaart met online en offline clients, inclusief hostnaam, land, hardware en antivirussoftware, en biedt de mogelijkheid om op afstand shellcommando’s uit te voeren of extra bestanden te verspreiden.
Wat te doen
Varonis raadt aan pagina’s die vragen om een commando in een terminal of het Uitvoeren-venster te plakken standaard als verdacht te behandelen, zeker bij zogenaamde documentverificatie. Onbekende adressen op workers.dev en trycloudflare.com verdienen extra aandacht in combinatie met zulke commando’s, al worden beide domeinen ook legitiem gebruikt. Beveiligingsteams kunnen daarnaast zoeken naar gewijzigde snelkoppelingen met bijbehorende back-upbestanden, verwijzingen naar “VLCAssistant” en onverwacht Tox-verkeer op het netwerk.
Voor Nederlandse bedrijven is de belangrijkste les dat ClickFix-aanvallen blijven werken zolang medewerkers commando’s uitvoeren die ze niet begrijpen. Neem dit soort verificatiepagina’s op in de bewustwordingstraining en spreek intern af dat een echte ondertekendienst nooit vraagt om iets in een terminal te plakken.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Spreek binnen uw organisatie af dat een terminalcommando nooit wordt geplakt op verzoek van een website, ook niet voor 'verificatie' bij het ondertekenen van een document. Dat is vrijwel altijd een ClickFix-aanval zoals bij AvisLoader, en geen enkele legitieme dienst vraagt daarom.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.