I ricercatori di cybersecurity hanno individuato Avalon, un framework malware modulare finora non documentato, distribuito tramite una catena di phishing a più fasi progettata per aggirare i controlli di sicurezza tradizionali. Il punto di ingresso è una email che simula un documento legale e indirizza la vittima verso un archivio protetto da password ospitato su Proton Drive.
Per ridurre le probabilità di rilevamento a livello email, il contenuto malevolo non è allegato direttamente ma inserito in una immagine ISO.
Catena di infezione e tecniche di esecuzione
Dopo il download e il montaggio della ISO, la vittima trova un collegamento Windows in formato LNK con un nome che richiama un PDF. L’esecuzione del collegamento avvia un comando che lancia un progetto MSBuild presente nella ISO. Questo passaggio è rilevante perché MSBuild, strumento legittimo dell’ecosistema Windows, può essere sfruttato come tecnica di living off the land per eseguire codice senza introdurre subito binari sospetti.
Il progetto MSBuild carica una assembly .NET incorporata che altera il normale funzionamento di Event Tracing for Windows, riducendo la visibilità forense e la telemetria disponibile ai team di risposta agli incidenti. In parallelo scarica via HTTPS un payload di fase successiva che avvia Avalon in modo più discreto.
Capacità di raccolta dati e movimento laterale
Avalon integra in un unico framework diverse capacità tipiche delle campagne ransomware moderne, includendo raccolta di credenziali e dati dai browser Chromium e Firefox, furto di cookie, cronologia e segnalibri, oltre alla raccolta di informazioni da applicazioni di wallet crypto e da strumenti come Discord, Slack, Teams, OpenVPN e WireGuard.
Punta anche a elementi utili per il movimento laterale come profili Wi‑Fi, connessioni RDP salvate, SSH known hosts e artefatti di Group Policy Preferences.
Esfiltrazione, comando e controllo e fase ransomware
Il malware esfiltra i dati verso un server remoto e mantiene comunicazioni di comando e controllo per ricevere istruzioni. Nella fase finale attiva le funzionalità ransomware denominate CrownX, cifrando file legati a operazioni aziendali e infrastrutture virtuali tramite le API crittografiche di Windows e rilasciando una nota di riscatto con timer e scadenze.
Per aumentare l’impatto, disabilita opzioni di recupero eliminando shadow copy e terminando servizi critici, esegue pulizia antiforense e può interagire con strutture disco per rendere il sistema inutilizzabile. Sono state osservate anche tecniche di evasione mirate a eludere diversi prodotti EDR e antivirus, adattando l’esecuzione alle difese presenti sull’host, con indicazioni di sviluppo assistito da AI che abbassa la barriera di ingresso per creare strumenti complessi.