Siber güvenlik araştırmacıları, 'Avalon' kod adıyla bilinen, daha önce kayıtlara geçmemiş modüler bir kötü amaçlı yazılım çerçevesi keşfetti. Bu çerçeve, geleneksel güvenlik önlemlerini aşabilen çok aşamalı bir oltalama (phishing) zinciri aracılığıyla dağıtılıyor.
Avalon; kimlik bilgisi toplama, ağ içinde yanal geçiş (lateral movement), uzaktan erişim, sistem kurtarmayı engelleme ve fidye yazılımı çalıştırma gibi çeşitli işlevleri tek bir çatı altında birleştiriyor. Fidye yazılımı bileşenine dahili olarak 'CrownX' adı verildi.
Blackpoint Cyber araştırmacıları Nevan Beal ve Sam Decker, saldırının alıcıları Proton Drive'daki parola korumalı bir arşive yönlendiren sahte bir hukuki belge e-postası ile başladığını belirtti. Saldırganlar, kötü amaçlı içeriği doğrudan e-posta eki olarak göndermek yerine bir ISO görüntüsünün içine gömdü. Bu yöntem, e-posta katmanında tespit edilme olasılığını önemli ölçüde azalttı.
E-posta alıcısı, bağladığı ISO görüntüsünün içindeki belge temalı bir Windows kısayoluna ("Secure Document CA-283505.pdf.lnk") tıklaması halinde, aşamalı bir kötü amaçlı yazılım süreci başlıyor ve bu sürecin sonunda Avalon devreye giriyor. Kısayol, ISO görüntüsünde bulunan bir MSBuild projesini başlatmak için bir komut çalıştırıyor.
MSBuild projesi, gömülü bir .NET derlemesini yüklüyor. Bu derleme, Windows için Olay İzleme (ETW) sisteminin işleyişine müdahale ederek adli bilişim görünürlüğünü azaltıyor ve Avalon'u başlatmaktan sorumlu bir sonraki aşama yükünü HTTPS üzerinden indiriyor.
Kötü amaçlı yazılım çerçevesi, tespit edilmekten kaçınmak için kapsamlı bir savunma atlatma alt sistemine sahip. Ayrıca, yürütme sürecini Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee ve Bitdefender gibi güvenlik araçlarından gizlemek için özel yöntemler içeriyor.
Araştırmacılar, "Bu yetenekler, çerçeveye telemetriyi azaltmak, kullanıcı modu izlemeyi atlamak ve konaktaki savunma kontrollerine bağlı olarak yürütmesini ayarlamak için çok sayıda yol sağlıyor." dedi.
Avalon'a entegre edilen tüm özellikler şu şekilde sıralanıyor:
