Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

AvisLoader: fałszywa prośba o podpis w DocuSign i sterowanie przez sieć Tox

Varonis opisał AvisLoader, nowy loader na Windows. Fałszywa prośba o podpis w DocuSign każe wkleić polecenie do terminala, a program łączy się z operatorem przez sieć Tox.

Karta wpisu: AvisLoader: fałszywa prośba o podpis w DocuSign i sterowanie przez sieć Tox

Varonis Threat Labs opisał AvisLoader, nowy program na Windows, który ładuje złośliwe oprogramowanie i łączy się z operatorem przez szyfrowaną sieć Tox. Atak zaczyna się od fałszywej prośby o podpis dokumentu w DocuSign. Badacze znaleźli loader na odsłoniętym serwerze razem z przynętą ClickFix, narzędziami pomocniczymi i panelem sterowania.

Strona z przynętą działała na Cloudflare Workers. Okno „Manual verification” podaje, że weryfikację prowadzi Cloudflare, i każe wkleić „kod weryfikacyjny” do terminala. W schowku ląduje polecenie, które pobiera i uruchamia kod z adresu Cloudflare Quick Tunnel w domenie trycloudflare.com. Kanał sterowania nie zależy od stałej domeny ani serwera, więc trudniej go wyłączyć. Sprzedawca twierdzi na forum przestępczym, że panel da się przenieść na inny serwer, kopiując plik zapisu Tox.

Kogo dotyczy

Dotyczy użytkowników Windows, którzy trafią na stronę udającą prośbę o podpis w DocuSign. Przynęta pokazuje polecenie dla macOS, ale na serwerze leżał loader dla Windows: jeden 64-bitowy plik wykonywalny o rozmiarze 3,4 MB.

TAB. 2

Źródła

1
BleepingComputer — Inside AvisLoader: A Windows Malware Loader Built to Resist Disruptionbleepingcomputer.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com