Новият зловреден софтуер 2CLoader заобикаля инструментите за сигурност, за да внедрява стилърите Vidar и Remus

2CLoader е новоидентифициран зареждащ зловреден софтуер (malware loader), който помага на атакуващите да инсталират програми за кражба на идентификационни данни на компютри с Windows.

Зареждащият софтуер е забелязан за първи път през август 2026 г. и основно разпространява софтуера за кражба на информация Vidar и Remus, както и XWorm RAT.

Тези заплахи могат да събират запазени пароли, данни от браузъра, информация за сесии и друг материал, който да подпомогне последващо компрометиране. Изследователи от Zscaler идентифицираха активността, докато анализираха образци и модели на доставка.

Zscaler заявява в доклад, споделен с Cyber Security News (CSN), че 2CLoader комбинира няколко проверки и опции за изпълнение, което позволява на операторите да персонализират поведението му върху засегнатото устройство.

Кампанията показва защо зареждащият софтуер може да има също толкова сериозни последствия, колкото и самият стилър, който той стартира. Скривайки зловредния код до по-късен етап от изпълнението и променяйки поведението си при откриване на анализ, 2CLoader увеличава шанса инструментите за кражба да достигнат незабелязани до реални потребители.

Новият зловреден софтуер 2CLoader заобикаля инструментите за сигурност

2CLoader криптира низове и съхранява своята конфигурация и зловреден код в ресурс на изпълним файл за Windows. Той използва циклично XOR и AES-GCM декриптиране, обвързвайки крайния ключ със собствения код на зареждащия софтуер. Това прави статичната проверка по-трудна.

Зловредният софтуер също така използва индиректни системни извиквания за Windows функции, които обикновено се наблюдават от софтуера за сигурност. Извлича информация за извикванията от чисто копие на ntdll.dll и използва техниката Hell’s Gate — подход, свързан с изследвания за заобикаляне чрез индиректни системни извиквания (indirect syscall evasion), за да намали видимостта от куки в потребителски режим (user-mode hooks).

Неговите проверки срещу анализ търсят следи от виртуални машини, дебъгери, липса на потребителска активност, оскъдни системни ресурси, необичайни потребителски имена и настройки, характерни за изолирана среда. Той се прекратява преди декриптирането на зловредния код, ако се задейства критична проверка или оценката на средата е твърде ниска.

В някои версии 2CLoader инсталира inline trampoline куки в Windows API след декриптиране на зловредния код. Те могат да променят потребителски имена, имена на компютри, стойности в регистъра, променливи на средата, серийни номера на томове и части от IPv4 адреси в получените мрежови данни.

Целта изглежда е предоставяне на по-нататъшните проверки на подвеждаща, но правилно форматирана системна информация. Зареждащият софтуер може да постигне персистентност чрез ключове в регистъра Run или RunOnce, папката Startup, планирана задача (scheduled task), настройки за зареждане на Windows или скрипт за вход.

Той може също така да изпълни зловреден код в паметта, ръчно да го съпостави (map) в текущия процес или да замени изображението на спрян процес. Тази гъвкавост напомня на големи кампании за доставка чрез зареждащ софтуер, които държат крайния стилър далеч от проверка на файловата система.

Риск от доставка на Vidar и Remus

Наблюдаваните образци предимно доставят Vidar и Remus — софтуер за кражба, фокусиран върху идентификационни данни. Изследователите откриха и XWorm RAT, разширявайки риска от кражба до отдалечен контрол върху инфектираната машина.

Кампания на XWorm с фалшиви разписки показва как многослойната доставка може да превърне рутинно изглеждащ файл във входна точка за кражба на акаунти. 2CLoader комуникира с инфраструктурата за командване и контрол (C2) през HTTP.

Той изпраща XOR-криптирани JSON съобщения за регистрация и статус, съдържащи версията на операционната система, ID на процеса, нивото на привилегии, броя процесори, паметта, локала и пътя до зловредния софтуер. Това дава на операторите запис за заразените устройства.

Конфигурацията му поддържа незадължителни зловредни кодове и фалшив прозорец със съобщение. Един от пътищата може да фалшифицира explorer.exe като родителски процес на нов процес и да активира повишени привилегии за дебъгване; друг насочва по подразбиране към dllhost.exe, след което пренасочва този спрян процес към зловредния код.

Тези възможности позволяват на зареждащия софтуер да се адаптира към различни кампании и формати на зловреден код. Организациите трябва да използват многослойно наблюдение на крайните точки и мрежата.

Екипите трябва да разследват необичайни HTTP POST заявки, изпълнение от временни локации, съмнителни планирани задачи и неочаквани връзки между процеси, включващи dllhost.exe или explorer.exe.

Поддържането на защитите актуални и ограничаването на изпълнението на ненадежден софтуер може да намали риска. Спешната реакция е да се блокират и търсят известните индикатори по-долу, след което системите да се прегледат за кражба на идентификационни данни от браузъра и неоторизирани сесии.

Тъй като откраднатите идентификационни данни могат да доведат до последващо злоупотреба с акаунти, засегнатите потребители трябва да нулират паролите си, да прекратят валидността на сесиите, където е възможно, и да активират многофакторна автентификация след анализиране на инцидента.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.