Inside AvisLoader: A Windows Malware Loader Built to Resist Disruption

AvisLoader : Un chargeur de logiciels malveillants basé sur le protocole P2P Tox

AvisLoader est un nouveau chargeur de logiciels malveillants pour Windows qui se distingue par son architecture décentralisée, rendant les opérations de démantèlement traditionnelles (basées sur les noms de domaine) inefficaces. Il utilise le protocole de messagerie chiffré Tox pour communiquer avec son centre de commande et recevoir des charges utiles supplémentaires.

Points clés :

• Vecteur d’infection : Utilise une technique de type “ClickFix” déguisée en demande de signature de document (ex: DocuSign). La victime est incitée à copier-coller une commande dans son terminal pour “vérifier” sa session, laquelle télécharge et exécute le malware.
• Architecture P2P : Contrairement aux C2 classiques, AvisLoader ne dépend pas d’un serveur central fixe, mais de l’identité Tox du contrôleur, facilitant le changement de serveur sans perte de contrôle sur les clients infectés.
• Persistance et furtivité : Le malware manipule les raccourcis système (fichiers .backup, VLCAssistant) pour se lancer automatiquement. Il inclut également des outils pour tenter une élévation de privilèges (UAC bypass) et une bibliothèque pour masquer des processus malveillants.

Vulnérabilités et techniques exploitées :

• UACME (Méthode 41) : Utilisation d’un projet public pour tenter de contourner l’UAC (User Account Control) de Windows.
• Hooking système : Utilisation de hmn_hook.dll pour intercepter NtQuerySystemInformation et masquer des processus malveillants.
• Note : Aucune CVE spécifique n’est mentionnée, le malware exploitant des comportements légitimes de Windows et des outils de sécurité détournés.

Recommandations de sécurité :

• Sensibilisation : Former les utilisateurs à ne jamais copier-coller des commandes dans un terminal ou dans la boîte “Exécuter” de Windows suite à une demande sur une page web.
• Surveillance réseau : Surveiller et filtrer les connexions vers workers.dev et trycloudflare.com lorsqu’elles sont associées à des processus suspects.
• Analyse du trafic : Identifier le trafic lié au protocole Tox ou tout trafic P2P non autorisé sur le parc informatique.
• Détection d’anomalies sur le poste :
  • Rechercher des modifications anormales sur les raccourcis du bureau et de la barre des tâches.
  • Auditer l’exécution de scripts (.vbs, .exe) dont le parent n’est pas un processus légitime ou attendu.
  • Surveiller les tentatives d’exécution de fichiers tels que auto.exe ou hmn_hook.dll associés à ce loader.

Source