AvisLoader: Windows-Malware nutzt Tox-Netzwerk statt fester Server
Veröffentlicht am: 13.10.2026 um 12:22 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Varonis Threat Labs haben eine neuartige Schadsoftware für Windows identifiziert, die herkömmliche Abwehrmechanismen gezielt umgeht. Der sogenannte AvisLoader agiert als Malware-Loader und verzichtet für die Befehls- und Kontrollkommunikation vollständig auf feste Domainnamen oder zentrale Serveradressen.
Stattdessen setzt das Programm auf das dezentrale, verschlüsselte Peer-to-Peer-Netzwerk des Tox-Protokolls. Nach Erkenntnissen der Sicherheitsanalysten wurde diese Architektur entworfen, um Infrastruktur-Abschaltungen und forensischen Gegenmaßnahmen standzuhalten.
Manipulierte Webseiten und mehrstufige Ausführung
Die Entdeckung der Schadsoftware erfolgte im Zuge von Analysen auf einem exponierten Staging-Server. Neben dem Loader stießen die Experten von Varonis Threat Labs auf einen betrügerischen ClickFix-Köder, der über eine gefälschte DocuSign-Webseite verbreitet wurde.
Diese Seite lief über Cloudflare Workers und forderte Besucher dazu auf, Anweisungen direkt in das Terminal einzufügen. Während der dargestellte Köder oberflächlich einen macOS-Befehl zeigte, luden die Angreifer über den Dienst trycloudflare.com tatsächlich ausschließlich eine Windows-Schadsoftware nach.
Angreifer nutzen immer raffiniertere Methoden, um unbemerkt Spionage-Programme auf Windows-Rechnern zu platzieren. Wie Sie solche unsichtbaren Bedrohungen rechtzeitig erkennen und Ihren PC effektiv absichern, zeigt dieser kostenlose Experten-Report. Jetzt Gratis-Anti-Virus-Paket herunterladen
Bei der ausgelieferten Datei handelt es sich um eine 3,4 Megabyte große 64-Bit-Binärdatei für Windows. Das Programm fordert lediglich einfache Nutzerrechte (asInvoker) an, wodurch beim initialen Start keine Bestätigung über die Windows-Benutzerkontensteuerung erforderlich ist.
Im Inneren der Datei stellten die Forscher fest, dass die Kommunikationsbibliothek c-toxcore statisch eingebunden ist; als interner Erstellungspfad fand sich der Pfad C:UsersdevDesktopc-toxcore.
Auffällig ist zudem der interne Aufbau der Datei: Die Binärdatei weist 17 gleich große Sektionen auf, die mit Bezeichnungen bekannter Packer wie Themida, VMProtect, Enigma und UPX versehen sind, wobei keine dieser Sektionen im Dateikopf als ausführbar markiert wurde.
Rechteausweitung und dezentrale Kontrollstrukturen
Um sich dauerhaft auf infizierten Systemen festzusetzen, richtet AvisLoader Verknüpfungen auf dem Desktop sowie in der Windows-Taskleiste ein und nutzt den VBScript-Launcher VLCAssistant. Für weitergehende Systemeingriffe greift eine Datei namens auto.exe auf die Methode 41 des UACME-Frameworks (ICMLuaUtil) zurück, um Sicherheitsabfragen zu umgehen.
Eine zusätzliche Komponente mit dem Namen hmn_hook.dll klinkt sich gezielt in die Systemfunktion NtQuerySystemInformation ein, um Systeminformationen zu manipulieren und Prozesse vor Analysen zu verbergen.
Der Schutz vor gezielten Cyberangriffen und komplexer Schadsoftware erfordert heute mehr als nur einfache Standardlösungen. IT-Sicherheitsexperten erklären in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken proaktiv schließen und Ihr System zur Festung gegen Hacker machen. Kostenlosen Sicherheits-Ratgeber für Windows-Nutzer sichern
Die Verwaltung der kompromittierten Systeme erfolgt über ein integriertes Command-Center-Panel, das Funktionen zur Steuerung von Clients, Aufgaben und Dateien bereitstellt. Angaben aus einem Cybercrime-Forum zufolge lässt sich die Kontrolleinheit über eine Tox-Sicherungsdatei flexibel auf andere Rechner übertragen.
Durch die Kombination aus dezentraler Peer-to-Peer-Kommunikation und dem Verzicht auf feste IP-Adressen oder Domains ist die Malware-Infrastruktur gezielt darauf ausgelegt, Störungen und Abschaltungen durch IT-Sicherheitsdienstleister zu erschweren.
