#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AvisLoader — это загрузчик для Windows, распространяемый через приманку ClickFix, стилизованную под DocuSign, и использующий Cloudflare Quick Tunnels для доставки полезных нагрузок. Он взаимодействует с операторами через зашифрованные одноранговые соединения Tox, обеспечивает постоянство присутствия путём модификации ярлыков и включает вспомогательный модуль, предполагающий попытку реализации обхода UAC на основе COM.
-----

Команда Varonis Threat Labs выявила AvisLoader — загрузчик для Windows, обнаруженный на открытом staging-сервере, на котором также находились приманка в формате ClickFix, вспомогательные инструменты и командный центр. Приманка имитировала запрос на подписание документа через DocuSign и побуждала жертв скопировать и выполнить команду, предоставленную злоумышленником. Данная команда загружала и запускала код через адрес Cloudflare Quick Tunnel на домене `trycloudflare.com`, что позволяло доставлять полезную нагрузку в обход стандартного процесса загрузки в браузере. Хотя в приманке отображалась команда для macOS, среди извлеченных полезных нагрузок присутствовал загрузчик для Windows, при этом соответствующее вредоносное ПО для macOS не было обнаружено.

AvisLoader использует Tox — одноранговый протокол обмена сообщениями — для взаимодействия с управляющим узлом. Такая архитектура снижает зависимость от фиксированных доменных имен или централизованной инфраструктуры C2 и позволяет операторам сохранять анонимность при переносе серверов. Центр управления поддерживает выполнение задач в командной строке и доставку файлов по защищенному соединению Tox, хотя соответствующая сетевая активность на скомпрометированных системах может оставаться потенциально обнаруживаемой.

Таблица секций PE загрузчика содержит семнадцать дополнительных секций одинакового размера с именами, ссылающимися на упаковщики, такие как Themida, VMProtect, Enigma и UPX. Ни одна из этих секций не является исполняемой, что указывает на то, что имена, вероятно, предназначены для затруднения анализа, а не для отражения фактического использования упаковщика.

Закрепление осуществляется через ярлыки на рабочем столе и в папке закреплённых элементов панели задач. Встроенные строки ссылаются на резервные копии ярлыков и загрузчик на VBScript с именем `VLCAssistant`, что указывает на возможность запуска ВПО через модифицированные ярлыки одновременно с запуском ожидаемого приложения для сокрытия действий от пользователя. Восстановленный вспомогательный файл `auto.exe` ссылается на метод 41 из проекта UACME, включая интерфейс `ICMLuaUtil` и технику повышения привилегий на основе COM. Его наличие свидетельствует о попытке обхода, но не подтверждает успешное повышение привилегий. Связанные артефакты включают `hmn_hook.dll` и файлы ярлыков с расширением `.backup`. Возможности обнаружения включают подозрительные команды ClickFix, удалённое выполнение скриптов, модифицированные ярлыки, упоминания `VLCAssistant` и неожиданный трафик Tox.