Il framework malware Avalon combina furto di credenziali, movimento laterale e ransomware

I ricercatori di sicurezza hanno identificato un framework malware modulare finora non documentato, denominato Avalon, che sembra progettato per supportare l’intero ciclo di un’intrusione, dall’accesso iniziale e dal furto di credenziali fino alla distribuzione del ransomware e all’interruzione del ripristino. Il payload ransomware all’interno del framework è stato tracciato internamente come CrownX.

Secondo Blackpoint Cyber, la campagna inizia con un’e-mail di phishing che si spaccia per un documento legale. Il messaggio indirizza le vittime verso un archivio protetto da password ospitato su Proton Drive, mentre il contenuto dannoso è nascosto all’interno di un’immagine ISO anziché essere allegato direttamente. Se un utente apre un collegamento Windows dall’aspetto di un documento presente nell’immagine montata, il file avvia una catena d’infezione a fasi che alla fine installa Avalon.

Il percorso di esecuzione utilizza MSBuild per caricare un assembly .NET incorporato, altera Event Tracing for Windows per ridurre la visibilità e recupera un payload aggiuntivo tramite HTTPS. I ricercatori hanno affermato che il framework include un ampio insieme di difese mirate a eludere il rilevamento da parte di diversi prodotti di sicurezza e a ridurre i dati di telemetria disponibili agli strumenti di monitoraggio degli endpoint.

Funzionalità osservate in Avalon

• Rubare dati del browser, come credenziali, cookie, cronologia e segnalibri.
• Raccogliere informazioni da portafogli di criptovalute, strumenti di collaborazione, client VPN e Windows Credential Manager.
• Raccogliere dati relativi a SSH, RDP, Wi-Fi e Criteri di gruppo.
• Esfiltrare dati verso un server di comando remoto e ricevere istruzioni.
• Crittografare i file associati alle operazioni aziendali e all’infrastruttura virtuale.
• Disabilitare il ripristino arrestando il servizio Copia Shadow del volume ed eliminando le copie shadow.
• Utilizzare routine di pulizia anti-forense e manipolare le strutture del disco per ostacolare il ripristino.

Blackpoint Cyber ha affermato che la progettazione del malware suggerisce che la fase finale del ransomware sia solo una parte di una strategia d’intrusione più ampia. Quando le vittime visualizzano la richiesta di riscatto, il sistema potrebbe essere già stato utilizzato per attività di ricognizione, raccolta di credenziali, comunicazioni di comando e controllo e preparazione del movimento laterale.

L’azienda ha inoltre rilevato segnali secondo cui Avalon potrebbe essere stato sviluppato con l’assistenza dell’intelligenza artificiale, citando il modo in cui diversi componenti sono stati assemblati con una disciplina operativa relativamente limitata. Secondo i ricercatori, questa tendenza potrebbe abbassare la barriera d’ingresso per gli aggressori che realizzano malware multifunzione.

La divulgazione arriva in concomitanza con altri casi recenti che coinvolgono minacce assistite dall’intelligenza artificiale. Sysdig ha riferito separatamente quello che ha descritto come il primo incidente ransomware agentico documentato pubblicamente e gestito dall’inizio alla fine da un modello linguistico di grandi dimensioni, mentre Unit 42 di Palo Alto Networks ha descritto un malware che utilizza l’API pubblica di un LLM per tradurre le istruzioni degli operatori espresse in linguaggio naturale in comandi shell.