Abertura
Em um relatório divulgado recentemente, a equipe de segurança da Varonis revelou a operação de um loader de malware para Windows, denominado AvisLoader, que se destaca por empregar comunicações ponto‑a‑ponto criptografadas. Essa estratégia tem como objetivo principal impedir a interrupção da infraestrutura de comando e controle (C2) por analistas de segurança ou bloqueios de rede. A descoberta foi feita durante a análise de amostras associadas a campanhas que utilizam a entrega ClickFix, um método de distribuição que combina engenharia social e exploração de vulnerabilidades.
Contexto
Desde o aumento da adoção de ransomware e de ferramentas de acesso remoto, grupos de ameaça têm investido em mecanismos que aumentam a resiliência de suas infraestruturas. No caso do AvisLoader, a escolha por canais criptografados ponto‑a‑ponto reflete uma tendência de reduzir a dependência de servidores centrais que podem ser identificados e bloqueados. A Varonis apontou que o loader se integra a um conjunto de componentes que já foram observados em campanhas anteriores, mas que agora apresentam um nível de sofisticação maior, especialmente na forma como mantêm a persistência no sistema alvo.
Impacto
Empresas que utilizam sistemas operacionais Windows podem ser alvos diretos desse loader, que se instala por meio de atalhos criados no menu de inicialização ou em diretórios de usuário. Uma vez ativo, o AvisLoader permite a execução remota de comandos, possibilitando que os invasores controlem o ambiente comprometido e movimentem laterais dentro da rede. Até o momento, não há números oficiais sobre a quantidade de vítimas, mas a capacidade de operar mesmo quando a comunicação C2 é interrompida eleva o risco de comprometimento prolongado e de exfiltração de dados sensíveis.
Detalhes técnicos
Na prática, o AvisLoader inicia sua cadeia de ataque ao ser acionado por um atalho criado durante a fase de persistência. O atalho aponta para um executável que, ao ser executado, estabelece uma conexão criptografada diretamente com um servidor de comando e controle, evitando o uso de protocolos comuns que poderiam ser monitorados. A criptografia aplicada ao tráfego ponto‑a‑ponto impede a inspeção profunda de pacotes (DPI) e dificulta a identificação de padrões de comunicação. Além disso, o loader incorpora rotinas para receber e executar comandos remotos, permitindo que o operador envie instruções de coleta de credenciais, movimentação lateral ou implantação de payloads adicionais. O método de entrega ClickFix costuma explorar vulnerabilidades em navegadores ou plugins, entregando o loader como parte de um pacote aparentemente legítimo.
Encerramento
Para mitigar a ameaça representada pelo AvisLoader, especialistas recomendam a revisão de políticas de criação de atalhos, a implementação de monitoramento de tráfego criptografado incomum e a atualização constante de softwares vulneráveis explorados pelo ClickFix. Organizações devem ainda reforçar a segmentação de rede e aplicar princípios de privilégio mínimo, reduzindo a superfície de ataque caso o loader consiga se instalar. O relatório da Varonis serve como alerta para que equipes de segurança revisem suas estratégias de detecção e resposta a incidentes, considerando que técnicas de evasão como as observadas no AvisLoader tendem a se tornar mais frequentes. Fonte: BleepingComputer.