Un loader Windows che non cade con un domain takedown
Varonis ha individuato AvisLoader, un Windows loader usato in una nuova campagna, costruito per reggere i takedown classici. Il punto non è solo che si nasconde. Il suo canale di comando passa da Tox, con relay peer-to-peer criptati, e usa persistenza tramite shortcut e remote execution, così il controllo dell’operatore può continuare anche se un dominio o un server vengono rimossi.
In pratica, il comando non dipende da un singolo endpoint o da un dominio fisso: l’operatore mantiene la propria identità su Tox e può spostare il backend senza spezzare il collegamento con i client. Per chi difende ambienti che contano su sinkholing, blocco dei domini o sequestro dell’infrastruttura, il rischio è perdere il controllo del piano di comando pur avendo colpito un server visibile.
Questa tecnica sposta la resilienza dal server all’identità dell’operatore e agli artefatti host. La conseguenza è che la disruption non si misura più solo sulla rete: se il loader resta agganciato alla stessa identità Tox, il canale può sopravvivere alla rimozione dell’infrastruttura esposta.
Inside AvisLoader: A Windows Malware Loader Built to Resist Disruption
A new Windows malware loader called AvisLoader uses encrypted peer-to-peer communications to make command-and-control infrastructure harder to disrupt.