بدافزار جدیدی به نام AvisLoader شناسایی شده است که به عنوان یک Loader برای سیستم‌عامل ویندوز طراحی شده تا دسترسی عامل تهدید (Threat Actor) را حتی در صورت تخریب زیرساخت‌های متداول فرماندهی و کنترل (C2)، حفظ کند.
مکانیزم ارتباطی مبتنی بر P2P
برخلاف بدافزارهای رایج که به دامنه‌ها یا IPهای ثابت متکی هستند، AvisLoader از شبکه پیام‌رسان رمزنگاری شده Tox استفاده می‌کند. این شبکه به صورت Peer-to-Peer (P2P) عمل کرده و اجازه می‌دهد بدافزار دستورات را دریافت و Payloadهای بعدی را بدون نیاز به یک سرور مرکزی دریافت کند. این معماری باعث می‌شود مسدود کردن دامنه‌های مخرب توسط تیم‌های دفاعی تأثیر محدودی داشته باشد، زیرا اپراتور می‌تواند هویت Peer خود را حفظ کرده و کنترلر را به زیرساخت جدیدی منتقل کند.
زنجیره عفونت و تکنیک ClickFix
حمله با یک درخواست جعلی برای امضای سند (مشابه صفحات DocuSign) آغاز می‌شود. در این مرحله، از تکنیک ClickFix استفاده شده است؛ به این صورت که کاربر به جای دانلود فایل، ترغیب می‌شود تا یک دستور خاص را کپی و در سیستم خود اجرا کند. این روش در واقع قربانی را به ابزار اجرای کد تبدیل می‌کند.
- دستور کپی شده، کدی را از طریق Cloudflare Quick Tunnel (با دامنه trycloudflare.com) فراخوانی و اجرا می‌کند.
- استفاده از سرویس‌های معتبر Cloudflare باعث پنهان شدن زیرساخت توزیع Payload و دور زدن جریان‌های معمول دانلود مرورگر می‌شود.
قابلیت‌های فنی و پایداری (Persistence)
تحلیل‌های فنی نشان می‌دهد که AvisLoader برای پایداری در سیستم، ارتقای سطح دسترسی (Privilege Escalation) و پنهان‌سازی طراحی شده است:
- Shortcut Hijacking: این بدافزار میان‌برهای دسکتاپ و Taskbar را هدف قرار می‌دهد تا هنگام باز کردن برنامه‌های مورد نظر کاربر، ابتدا کد مخرب اجرا شود.
- UAC Bypass: با استفاده از ابزار UACME و تکنیک‌های COM-elevation، تلاش می‌کند محدودیت‌های کنترل حساب کاربری (UAC) را دور بزند.
- پنهان‌سازی فرآیندها: از طریق فایل
hmn_hook.dllو Hook کردن تابعNtQuerySystemInformation، می‌تواند نام فرآیندهای خاص را از لیست‌های سیستم فیلتر کرده و آن‌ها را از دید ابزارهایی مانند Task Manager پنهان کند.
پنل مدیریت و کنترل
پنل مدیریت AvisLoader به اپراتور اجازه می‌دهد تا نقاط انتهایی (Endpoints) را بر اساس مشخصات سخت‌افزاری (CPU/GPU)، موقعیت جغرافیایی و وضعیت دسترسی Administrator مدیریت کند. همچنین امکان ارسال دستورات Shell و توزیع Payloadهای تکمیلی از طریق شبکه Tox برای سیستم‌های هدف فراهم شده است.
توصیه‌های امنیتی برای SOC
تیم‌های امنیتی باید موارد زیر را رصد کنند:
- صفحات جعلی تأیید سند که کاربر را به کپی و اجرای دستورات در PowerShell یا Command Prompt ترغیب می‌کنند.
- فعالیت‌های مشکوک Shell بلافاصله پس از نشست‌های مرورگر.
- تغییرات غیرمنتظره در میان‌برهای دسکتاپ و وجود فایل‌هایی مانند
VLCAssistant،auto.exeیاhmn_hook.dll. - ترافیک غیرعادی مربوط به پروتکل Tox یا ارتباطات P2P در نقاط انتهایی سازمان.
