Khung mã độc Avalon triển khai CrownX qua chuỗi lừa đảo nhiều giai đoạn
"Researchers uncovered Avalon, a previously undocumented modular malware framework delivered through a multi-stage phishing chain that uses ISO images, Windows shortcuts, and MSBuild to deploy payloads while evading detection. Avalon includes credential theft, lateral movement, data exfiltration, anti-forensics, recovery disruption, and ransomware execution via its CrownX component; no CVE is associated with this framework, though the article also cites CVE-2025-3248 in a separate agentic ransomware case involving Langflow. The reported impact includes broad compromise of endpoints, theft of credentials and wallet data, and file encryption with ransom demands, with AI-assisted development and LLM-driven malware lowering the barrier to attack creation."
Tác động bảo mật cao do chuỗi tấn công kết hợp thu thập thông tin đăng nhập, vượt né giám sát (ETW/telemetry) và tống tiền bằng mã hóa + phá hủy khôi phục. Các điểm then chốt: can thiệp ETW, xóa shadow copies, triển khai CrownX để mã hóa tệp.
Nguy cơ gián đoạn vận hành đáng kể vì có thể dẫn tới mất quyền truy cập, rò rỉ dữ liệu và mã hóa tệp trên nhiều nhóm hệ thống phục vụ kinh doanh. Các điểm then chốt: đánh cắp dữ liệu ví/credential, exfiltration sang máy chủ C2, mất khả năng khôi phục do phá shadow copies.
Các nhà nghiên cứu phát hiện Avalon, một khung mã độc mô-đun trước đây chưa được ghi nhận, được phân phối qua chuỗi phishing nhiều giai đoạn nhằm vượt qua kiểm soát bảo mật truyền thống. Điểm khởi đầu là email giả mạo tài liệu pháp lý, dẫn người nhận tới archive được bảo vệ bằng mật khẩu trên Proton Drive; nội dung độc hại được nhúng trong ảnh ISO thay vì đính kèm trực tiếp để giảm khả năng bị phát hiện ở lớp email.
Khi nạn nhân tương tác với shortcut Windows theo chủ đề tài liệu trong ảnh đã gắn (ví dụ "Secure Document CA-283505.pdf.lnk"), chuỗi tấn công kích hoạt lệnh chạy một dự án MSBuild nằm trong ISO. MSBuild sau đó nạp một assembly .NET nhúng, can thiệp vào ETW để giảm dấu vết pháp y, đồng thời tải payload tiếp theo qua HTTPS để triển khai Avalon.
Avalon tích hợp nhiều chức năng: thu thập thông tin đăng nhập và dữ liệu trình duyệt, lấy dữ liệu từ ứng dụng ví tiền mã hóa, thu cấu hình SSH/RDP/Wi‑Fi và cpassword; exfiltration sang máy chủ từ xa; trinh sát để mở rộng phạm vi; và cuối cùng là giai đoạn tống tiền với thành phần CrownX. CrownX thực hiện mã hóa tệp kèm ghi chú đòi tiền, đồng thời vô hiệu hóa khôi phục bằng cách dừng Volume Shadow Copy Service và xóa shadow copies, kèm cơ chế anti-forensics và thao tác cấu trúc đĩa để làm hệ thống khó khôi phục.
Ngoài ra, bài viết cũng nhắc tới trường hợp ransomware tác nhân do LLM điều khiển, khai thác CVE-2025-3248 trên một hạ tầng Langflow (trường hợp riêng). Khuyến nghị: siết chặt kiểm soát email/phishing, chặn thực thi từ ISO/shortcut, giám sát MSBuild/ETW bất thường, và tăng khả năng phát hiện hành vi shadow copy deletion cùng mã hóa hàng loạt.