Загрузчик AvisLoader для Windows использует зашифрованную P2P-сеть Tox вместо привычного сервера управления, а его образец весом 3,4 МБ нашли вместе с фишинговой приманкой и панелью оператора. Это усложняет блокировку инфраструктуры: злоумышленнику не обязательно держаться за один домен или IP-адрес. Для российских ИБ-команд вывод довольно приземлённый: контролировать только подозрительные URL уже недостаточно — придётся связывать сетевые сигналы с действиями на конечной точке.
О находке исследователей Varonis Threat Labs сообщает BleepingComputer. В обнаруженном наборе были сам загрузчик, сайт-приманка в стиле сервиса подписания документов, вспомогательные файлы и веб-панель управления. Авторы назвали семейство AvisLoader — от латинского слова «птица». Судя по панели, это не эксперимент из чьей-то лаборатории, а заготовка для оператора, которому нужны учёт клиентов, выполнение команд и раздача следующих этапов заражения.
Начальная точка атаки выглядит знакомо по волне ClickFix-кампаний. Жертве показывают страницу якобы с документом на подпись и предлагают пройти «ручную проверку»: скопировать предложенную команду и самостоятельно вставить её в терминал или окно запуска. Команда получает и исполняет код по адресу Cloudflare Quick Tunnel в зоне trycloudflare.com. Формально файл скачивается, но не стандартным механизмом браузера — пользователь сам запускает командную строку, обходя часть привычных предупреждений и снижая ценность контроля загрузок.
Конкретная приманка была размещена через Cloudflare Workers и оформлена под запрос на подписание документа. На странице демонстрировалась команда для macOS, хотя в доступном исследователям каталоге лежал Windows-загрузчик. Соответствующий macOS-пейлоад специалисты не нашли. Этот разрыв сам по себе важен: оформление атаки и доступные компоненты не всегда совпадают, поэтому защитным системам опасно принимать визуальный контекст за доказательство платформы или сценария.
Почему Tox неудобен для защитников
Главная особенность AvisLoader — связь с оператором через Tox, децентрализованную сеть обмена сообщениями с шифрованием. Исполняемый файл статически включает c-toxcore, эталонную реализацию протокола; в нём также сохранился путь сборки разработчика: C:\Users\dev\Desktop\c-toxcore. В классической схеме аналитики стараются отключить управляющий сервер, домен или хостинг. Здесь клиент связывается с оператором как с другим участником P2P-сети. В объявлении на криминальном форуме продавец утверждал, что контроллер можно перенести, скопировав файл состояния Tox, и заражённые машины продолжат следовать за той же идентичностью без смены домена.
Это не делает вредоносный трафик невидимым и не превращает Tox в магический плащ. Сетевые соединения по-прежнему можно наблюдать, как и необычную активность процесса на устройстве. Но меняется точка опоры расследования: блокировка домена больше не гарантирует разрыв управления. SOC потребуется сопоставлять P2P-трафик с запуском оболочек, скриптов, изменениями ярлыков и подозрительными дочерними процессами. Легитимность самой технологии обмена сообщениями тоже не повод закрывать на неё глаза — злоумышленники давно используют обычные облака, мессенджеры и туннели как транспорт.
Сам загрузчик AvisLoader запускается без запроса повышения привилегий: в манифесте указан уровень asInvoker, то есть он наследует права процесса, из которого был открыт. В таблице секций исследователи увидели 17 дополнительных секций одинакового размера с названиями, отсылающими к Themida, VMProtect, Enigma и UPX. Однако эти секции не помечены как исполняемые, а одних названий недостаточно, чтобы подтвердить применение конкретного упаковщика. Вероятнее всего, это шум для автоматизированного анализа и реверса, а не надёжная сигнатура инструмента.
Для закрепления на машине образец ориентируется на ярлыки рабочего стола и закреплённые ярлыки панели задач. Внутри есть строки, связанные с резервными копиями ярлыков, и VBScript-запускатель с именем VLCAssistant. Схема предполагает подмену ярлыка: пользователь открывает знакомую программу, одновременно запускается вредоносный компонент, а затем стартует ожидаемое приложение — чтобы не вызвать лишних вопросов. Для рабочих станций, где сотрудники постоянно открывают почту, документы и корпоративные приложения через ярлыки, это заметно более коварный сценарий, чем одноразовый запуск вложения.
Что умеет панель и что искать в инфраструктуре
Среди файлов оказался небольшой помощник auto.exe со ссылками на метод 41 из открытого проекта UACME для обхода контроля учётных записей Windows. Его строки упоминают интерфейс ICMLuaUtil и механизм повышения через COM. Но Varonis отдельно оговаривает важное ограничение: наличие этого файла не доказывает успешный обход UAC, а сам компонент предупреждает о возможных ограничениях на обновлённых версиях Windows. Рядом находилась библиотека hmn_hook.dll, перехватывающая системную функцию NtQuerySystemInformation и способная исключать заданное имя процесса из результатов. Исследователи не подтвердили, что библиотека загружалась в Диспетчер задач или скрывала именно AvisLoader.
Панель AvisLoader Command Center показывает счётчики всех, активных и неактивных клиентов, карту и таблицу сведений о хостах. Оператор может видеть имя компьютера, страну, CPU, GPU, антивирус, наличие прав администратора и публичный ключ Tox. Во вкладке задач предусмотрено выполнение команд оболочки с отбором машин по оборудованию, местоположению и правам; задания можно подготовить заранее и выполнить, когда подходящий клиент появится в сети. Отдельный раздел предназначен для загрузки файлов и их доставки клиентам через Tox. Иными словами, загрузчик AvisLoader нужен не только для первичного доступа: он рассчитан на последующее удалённое управление и доставку дополнительных полезных нагрузок.
Практический список для защиты здесь короче, чем обычно, но полезнее. Нужны алерты на страницы «подтверждения документа», которые просят вставить команду в терминал или окно запуска; расследование обращений к workers.dev и trycloudflare.com в таком контексте; контроль командных оболочек и интерпретаторов, скачивающих и запускающих код после визита на сайт. Отдельно стоит искать нетипичный трафик Tox и прочих P2P-протоколов, изменённые ярлыки рабочего стола и панели задач, файлы с суффиксом резервной копии и упоминания VLCAssistant. Совпадения по auto.exe и hmn_hook.dll разумно рассматривать как повод проверить окружение процесса, а не как окончательный вердикт.
История AvisLoader показывает, куда смещается экономика атак: инфраструктуру управления делают не обязательно скрытнее, а менее зависимой от одной точки отказа. Защитникам придётся всё чаще отвечать не на вопрос «какой домен заблокировать», а на вопрос «почему конкретный процесс на конкретной машине начал говорить с этой сетью и менять пользовательские ярлыки». Именно в такой связке телеметрия EDR, сетевой мониторинг и обучение сотрудников дают больше пользы, чем очередной список запрещённых доменов.