بدافزار AvisLoader یک لودر (Loader) برای سیستم‌عامل ویندوز است که با هدف تداوم ارتباطات حتی پس از از بین رفتن سرورهای کنترل‌کننده طراحی شده است. این ویژگی باعث می‌شود که توقف فعالیت این بدافزار تنها با مسدود کردن یا حذف وب‌سایت‌های مخرب امکان‌پذیر نباشد.
مکانیسم عفونت و مهندسی اجتماعی
این حمله با یک صفحه جعلی امضای سند (Document-signing) آغاز می‌شود که از کاربر می‌خواهد برای تأیید امنیت، دستوری را به‌صورت دستی در سیستم خود اجرا کند. این روش که مشابه کمپین‌های ClickFix است، کاربر را فریب می‌دهد تا خودe حمله را آغاز کند. به جای دانلود مستقیم از مرورگر، دستور وارد شده از طریق یک تونل موقت (Temporary Tunnel) کد مخرب را بازیابی و اجرا می‌کند.
ساختار ارتباطی و مقاومت در برابر Takedown
برخلاف اکثر بدافزارها که از دامنه‌های ثابت برای دریافت دستورات استفاده می‌کنند، AvisLoader از شبکه پیام‌رسان Tox بهره می‌برد. این شبکه بر پایه مدل Peer-to-Peer (P2P) است و نرم‌افزار Tox مستقیماً در فایل اجرایی بدافزار گنجانده شده است. این رویکرد باعث می‌شود:
- وابستگی به یک آدرس کنترل مرکزی (C2) حذف شود.
- عامل تهدید بتواند با کپی کردن فایل ذخیره Tox، هویت کنترل‌کننده را به سرور جدید منتقل کند.
- تلاش‌های مدافعان برای مسدود کردن دامنه‌های ثابت بی‌اثر گردد.
قابلیت‌های فنی و استتار
تحلیل‌های تیم Varonis Threat Labs نشان می‌دهد که این بدافزار دارای ویژگی‌های زیر است:
- تغییر میان‌برهای دسکتاپ: بدافزار می‌تواند Shortcutهای دسکتاپ و Taskbar را تغییر دهد تا با اجرای برنامه مورد نظر کاربر، ابتدا بدافزار اجرا شده و سپس برنامه اصلی باز شود.
- دور زدن سطح دسترسی: وجود کتابخانه‌هایی برای Privilege-bypass و مخفی‌سازی پردازش‌ها (Process Hiding) در نمونه‌های بازیابی شده مشاهده شده است.
- پنل مدیریت: داشبورد اپراتور امکان مشاهده جزئیات دستگاه، نرم‌افزارهای امنیتی نصب شده و ارسال دستورات Shell را فراهم می‌کند.
توصیه‌های امنیتی برای SOC و مدیران امنیت
برای مقابله با این تهدید، تیم‌های امنیتی باید موارد زیر را مد نظر قرار دهند:
- پایش ترافیک P2P: بررسی ارتباطات غیرمعمول شبکه که از پروتکل‌های پیام‌رسان‌های غیرمتعارف استفاده می‌کنند.
- تحلیل رفتاری: شناسایی دستوراتی که در Terminal یا Run اجرا می‌شوند اما فرآیند والد (Parent Process) آن‌ها مرورگر نیست.
- بررسی Artifactها: بازرسی میان‌برهای تغییر یافته در دسکتاپ و فایل‌های پشتیبان با پسوند
.backup. - مانیتورینگ تونل‌های ابری: بررسی آدرس‌های میزبانی شده در سرویس‌هایی مانند Cloudflare Tunnel در صورت همراه شدن با رفتارهای مشکوک.
