Avalon-Malware-Framework kombiniert Anmeldedatendiebstahl, laterale Bewegungen und Ransomware

Sicherheitsforscher haben ein bislang undokumentiertes, modulares Malware-Framework namens Avalon identifiziert, das offenbar den gesamten Ablauf eines Eindringens unterstützen soll – vom ersten Zugriff und dem Diebstahl von Anmeldedaten bis hin zur Bereitstellung von Ransomware und der Verhinderung der Wiederherstellung. Die Ransomware-Nutzlast innerhalb des Frameworks wird intern als CrownX verfolgt.

Blackpoint Cyber zufolge beginnt die Kampagne mit einer Phishing-E-Mail, die sich als juristisches Dokument ausgibt. Die Nachricht verweist auf ein passwortgeschütztes Archiv, das auf Proton Drive gehostet wird, während die schädlichen Inhalte in einem ISO-Image verborgen sind, anstatt direkt angehängt zu werden. Öffnet ein Nutzer eine dokumentähnliche Windows-Verknüpfung innerhalb des eingebundenen Images, startet die Datei eine mehrstufige Infektionskette, die schließlich Avalon installiert.

Der Ausführungspfad nutzt MSBuild, um eine eingebettete .NET-Assembly zu laden, manipuliert Event Tracing for Windows, um die Sichtbarkeit zu verringern, und ruft eine zusätzliche Nutzlast über HTTPS ab. Die Forscher erklärten, dass das Framework zahlreiche Schutzmechanismen enthält, die darauf ausgerichtet sind, die Erkennung durch mehrere Sicherheitsprodukte zu umgehen und die für Endpoint-Überwachungstools verfügbare Telemetrie zu reduzieren.

In Avalon beobachtete Funktionen

• Browserdaten wie Anmeldedaten, Cookies, Verlauf und Lesezeichen stehlen.
• Informationen aus Krypto-Wallets, Collaboration-Tools, VPN-Clients und dem Windows-Anmeldeinformationsmanager sammeln.
• Daten zu SSH, RDP, WLAN und Gruppenrichtlinien erfassen.
• Daten an einen entfernten Befehlsserver exfiltrieren und Anweisungen empfangen.
• Dateien verschlüsseln, die mit Geschäftsabläufen und virtueller Infrastruktur verbunden sind.
• Die Wiederherstellung verhindern, indem der Volumenschattenkopie-Dienst angehalten und Schattenkopien gelöscht werden.
• Anti-Forensik-Bereinigungsroutinen einsetzen und Festplattenstrukturen manipulieren, um die Wiederherstellung zu erschweren.

Blackpoint Cyber erklärte, das Design der Malware deute darauf hin, dass die abschließende Ransomware-Phase nur ein Teil einer umfassenderen Eindringstrategie ist. Wenn die Opfer den Lösegeld-Hinweis sehen, wurde das System möglicherweise bereits für Aufklärung, das Sammeln von Anmeldedaten, die Kommunikation mit der Command-and-Control-Infrastruktur und die Vorbereitung lateraler Bewegungen genutzt.

Das Unternehmen stellte außerdem Anzeichen dafür fest, dass Avalon möglicherweise mit Unterstützung künstlicher Intelligenz entwickelt wurde. Als Beleg verwies es darauf, dass mehrere Komponenten mit vergleichsweise geringer operativer Disziplin zusammengefügt wurden. Dieser Trend könnte Forschern zufolge die Einstiegshürde für Angreifer senken, die multifunktionale Malware entwickeln.

Die Veröffentlichung erfolgt vor dem Hintergrund weiterer aktueller Fälle im Zusammenhang mit KI-gestützten Bedrohungen. Sysdig berichtete separat über den nach eigenen Angaben ersten öffentlich dokumentierten agentischen Ransomware-Vorfall, der vollständig von einem Large Language Model gesteuert wurde, während Palo Alto Networks Unit 42 Malware beschrieb, die eine öffentliche LLM-API nutzt, um Anweisungen von Angreifern in Alltagssprache in Shell-Befehle zu übersetzen.