AvisLoader : un loader Windows utilisant Tox P2P pour résister aux takedowns de C2

📅 Source et contexte : Article publié le 23 septembre 2026 par Varonis Threat Labs (blog.varonis.com). Les chercheurs ont découvert AvisLoader sur un serveur de staging exposé, accompagné d’un leurre ClickFix, d’outils annexes et de son panneau de commande.

🎯 Vecteur d’infection : L’attaque débute par un leurre ClickFix hébergé sur Cloudflare Workers, se faisant passer pour une demande de signature DocuSign. Une fausse boîte de dialogue « Manual verification » invite l’utilisateur à coller une commande dans un terminal. Cette commande récupère et exécute du code depuis une adresse trycloudflare.com (Cloudflare Quick Tunnel), contournant le flux de téléchargement normal du navigateur.

🦠 Caractéristiques techniques du loader :

• Exécutable Windows 64 bits de 3,4 Mo, manifest asInvoker (pas d’élévation UAC au démarrage)
• Dix-sept sections supplémentaires avec des noms associés à des packers connus (Themida, VMProtect, Enigma, UPX) pour tromper l’identification — aucune n’est marquée exécutable
• Intègre statiquement c-toxcore, l’implémentation de référence du protocole Tox (P2P chiffré), pour les communications C2
• Chemin de build développeur embarqué : C:\Users\dev\Desktop\c-toxcore

🔒 Persistance, élévation et furtivité :

• Persistance via modification de raccourcis bureau et barre des tâches, avec un lanceur VBScript nommé VLCAssistant et des fichiers .backup
• Élévation UAC : helper auto.exe implémentant la méthode 41 de UACME via l’interface ICMLuaUtil et le mécanisme COM (CLSID {3E5FC7F9-9A51-4367-9063-A120244FBEC7})
• Dissimulation de processus : hmn_hook.dll hooking NtQuerySystemInformation pour filtrer un nom de processus des résultats (exports : HMN_HideStart, HMN_HideStatus, HMN_HideStop)

🖥️ Command Center AvisLoader :

• Panneau web affichant compteurs de clients (total/online/offline) et carte mondiale
• Table Clients : hostname, pays, CPU, GPU, antivirus, statut administrateur, clé publique Tox
• Onglet Tasks : configuration de commandes shell, sélection par matériel, localisation, statut admin
• Onglet Files : staging et livraison de payloads additionnels via Tox
• Portabilité du C2 : le contrôleur peut être déplacé en copiant le fichier de sauvegarde Tox, les clients suivent sans reconfiguration de domaine

📋 Techniques MITRE ATT&CK documentées : T1204.004 (ClickFix), T1547.009 (modification de raccourcis), T1548.002 (bypass UAC via UACME méthode 41), T1014 (rootkit via hook NtQuerySystemInformation), T1071 (protocole Tox pour C2), T1105 (transfert de fichiers via Tox).

📌 Type d’article : Analyse technique et publication de recherche par Varonis Threat Labs, visant à documenter un nouveau loader malveillant, ses mécanismes de persistance et de furtivité, et à fournir des indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

TTP

• T1204.004 — User Execution: Malicious Copy and Paste (Execution)
• T1547.009 — Boot or Logon Autostart Execution: Shortcut Modification (Persistence)
• T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
• T1014 — Rootkit (Defense Evasion)
• T1071 — Application Layer Protocol (Command and Control)
• T1105 — Ingress Tool Transfer (Command and Control)

IOC

• SHA256 : 35dd164a7f5d8b42b9870c7009f7425b1c8cb771280c9e6c525e09f3dd13c2cc — VT · MalwareBazaar
• SHA256 : f0a6870cb774a55775eda15fd39e8a17eb3169d5b9365186dae8edff07ff3975 — VT · MalwareBazaar
• SHA256 : cd1e835f52e5f55279dcdf3857e11bc9298ea6caa88eb214ea2d40ff5d38b5f5 — VT · MalwareBazaar
• Fichiers : 78324.exe
• Fichiers : auto.exe
• Fichiers : hmn_hook.dll
• Chemins : C:\Users\dev\Desktop\c-toxcore

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• AvisLoader (loader)
• UACME (tool)
• hmn_hook.dll (tool)
• c-toxcore (other)

🟢 Indice de vérification factuelle : 67/100 (haute)

• ⬜ varonis.com — source non référencée (0pts)
• ✅ 13729 chars — texte complet (fulltext extrait) (15pts)
• ✅ 7 IOCs dont des hashes (15pts)
• ✅ 2/3 IOCs confirmés (MalwareBazaar, ThreatFox, VirusTotal) (12pts)
• ✅ 6 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• f0a6870cb774a557… (sha256) → VT (38/76 détections)
• cd1e835f52e5f552… (sha256) → VT (21/76 détections)

🔗 Source originale : https://www.varonis.com/blog/meet-avisloader-a-windows-loader-built-to-outlast-a-takedown