پژوهشگران امنیتی در Varonis Threat Labs بدافزار جدیدی به نام AvisLoader را شناسایی کرده‌اند که از یک شبکه پیام‌رسانی رمزنگاری شده Peer-to-Peer (P2P) برای ارتباط با اپراتورهای خود استفاده می‌کند. این رویکرد باعث می‌شود متوقف کردن فعالیت این بدافزار از طریق روش‌های سنتی مانند تخریب دامنه‌ها (Domain Takedowns) بسیار دشوار شود.
مکانیسم مهندسی اجتماعی و اجرای کد
زنجیره عفونت با یک ترفند موسوم به ClickFix آغاز می‌شود که هدف آن فریب کاربران برای اجرای دستورات ارسالی مهاجم است. در این سناریو، قربانی به صفحه‌ای هدایت می‌شود که توسط Cloudflare Workers میزبانی شده و به شکل یک درخواست امضای DocuSign طراحی شده است. در این صفحه ادعا می‌شود که «تأیید هویت توسط Cloudflare انجام می‌شود» و از کاربر خواسته می‌شود کدی را در ترمینال کپی و اجرا کند تا به سند دسترسی یابد.
این دستور در واقع یک آدرس Cloudflare Quick Tunnel است که پس از اجرا، کدهای مخرب را خارج از فرآیند دانلود عادی مرورگر دریافت و اجرا می‌کند. اگرچه در ترفند مذکور دستوراتی برای macOS نمایش داده شده بود، اما فایل‌های بازیابی شده نشان دادند که Payload اصلی برای سیستم‌عامل Windows طراحی شده است.
تحلیل فنی بدافزار
- ساختار فایل: این Payload یک فایل اجرایی ۶۴ بیتی به حجم ۳.۴ مگابایت است. برای گمراه کردن ابزارهای شناسایی Packer، در جدول بخش‌های (Section Table) آن نام‌هایی مانند UPX، VMProtect، Themida و Enigma درج شده است.
- ارتباطات C2: AvisLoader از کتابخانه
c-toxcore(پیاده‌سازی پروتکل Tox) استفاده می‌کند. به دلیل ماهیت P2P پروتکل Tox، این بدافزار نیازی به دامنه یا سرور مرکزی ثابت ندارد و مهاجمان می‌توانند با جابجایی فایل ذخیره Tox، هویت کنترل‌کننده را بدون نیاز به به‌روزرسانی دامنه حفظ کنند. - ماندگاری (Persistence): این بدافزار با تغییر میان‌برهای (Shortcuts) دسکتاپ و Taskbar، خود را فعال نگه می‌دارد. به گونه‌ای که هنگام باز کردن یک برنامه، ابتدا بدافزار اجرا شده و سپس برنامه مورد نظر کاربر باز می‌شود.
- ارتقای سطح دسترسی: در بسته بدافزار، برنامه‌ای به نام
auto.exeیافت شد که از متد ۴۱ ابزار UACME برای دور زدن کنترل حساب کاربری (UAC Bypass) در ویندوز استفاده می‌کند.
پنل مدیریت و کنترل
مرکز فرماندهی وب‌محور AvisLoader به مهاجمان اجازه می‌دهد لیستی از سیستم‌های عفونی شده را به همراه جزئیاتی نظیر مکان جغرافیایی، سخت‌افزار، آنتی‌ویروس نصب شده و وضعیت دسترسی Administrator مشاهده کنند. همچنین مهاجمان می‌توانند دستورات Shell را ارسال کرده و فایل‌های تکمیلی را از طریق شبکه Tox توزیع نمایند.
