De tilgængelige oplysninger dokumenterer ikke en entydig forbindelse til en navngiven ransomwaregruppe. Mulige ligheder med infrastrukturen bag blandt andre Oyster og Lactrodectus bør derfor ses som efterforskningsspor – ikke som bevis på fælles udviklere eller operativ kontrol.

Sådan fungerer de to versioner

Den ældre version: direkte HTTP-kontrol

Ældre C2Looper-prøver kommunikerer med en angriberstyret server via ukrypteret HTTP og bruger JSON-baserede instruktioner. De poller meget hyppigt, i nogle rapporter med cirka ét sekunds mellemrum. Det kan skabe et karakteristisk adfærdssignal på både netværket og den enkelte computer.

Malwarens beacon identificerer offeret med oplysninger som:

• Windows-brugernavn
• DNS-værtsnavn
• Proces-id’et for den kørende C2Looper-instans
• Et bot-id, der dannes ud fra værtsnavn og brugernavn

Beaconen sendes til stien /api/beacon, mens resultater fra udførte kommandoer sendes til /api/result/.

Operatøren får blandt andet mulighed for at:

• Udføre vilkårlige shell- eller systemkommandoer
• Indsamle oplysninger om værten
• Hente filer
• Opdatere implantatet og installere yderligere payloads

En særlig opdateringsfunktion bruger kommandoen upload. Den henter en bærbar eksekverbar fil fra en URL, som operatøren angiver, og gemmer den som en DLL i brugerens lokale OneDrive-mappe. Derefter kan malwaren stoppe OneDrive-processen og få en legitim OneDrive-eksekverbar fil til at indlæse det indsatte bibliotek gennem DLL-sideloading. I de rapporterede prøver blev filen gemt som wtsapi32.dll under %LocalAppData%\\Microsoft\\OneDrive.

Teknikken udnytter, at et legitimt program indlæser et bibliotek fra samme mappe. For forsvarere er signalet derfor ikke blot, at OneDrive findes på systemet, men at en legitim OneDrive-binærfil indlæser en uventet DLL fra en usædvanlig eller skrivbar placering.

Evasion i de ældre prøver

C2Looper dekrypterer strenge under kørsel ved hjælp af XOR. Ifølge rapporteringen genbruges en otte byte lang nøgle. Malwaren finder desuden dynamisk Windows-API’er gennem LoadLibrary og GetProcAddress.

Det kan gøre en simpel statisk analyse mindre effektiv og øger værdien af adfærdsdata fra endpoint detection and response-systemer (EDR).

Den nyere version: GitHub som kommando- og kontrolkanal

En nyere C2Looper-version dropper den traditionelle C2-server til fordel for GitHub-repositorier. Repositorierne bruges til at levere instruktioner, registrere beacons, modtage resultater og – ifølge rapporteringen om den nyere variant – håndtere data relateret til payloads.

Hver kompromitteret computer får sin egen mappe i et repository. Implantatet læser instruktioner fra cmd.json, udfører handlingen og skriver resultatet til result.json i den samme mappe. Det giver operatøren en enkel, filbaseret arbejdsgang til at sende kommandoer og hente svar uden en dedikeret C2-server.

GitHub er samtidig en legitim tjeneste, som bruges af udviklere og virksomheder. Derfor kan enkel blokering af domæner være mindre effektiv end adfærdsbaseret overvågning. Organisationer bør undersøge periodisk adgang til GitHub-repositorier eller API’er fra computere, der normalt ikke har behov for udviklings- eller CI/CD-tjenester.

Skiftet til GitHub og de yderligere funktioner til payload-eksekvering i nyere prøver tyder på, at C2Looper fortsat er under aktiv udvikling.

Mulig levering gennem ClickFix

ThreatLabz vurderer med lav til middel sikkerhed, at C2Looper kan blive leveret gennem en flertrinsinfektion af typen ClickFix. I sådanne kampagner møder brugeren eksempelvis en falsk bekræftelsesdialog, en browserfejl, en CAPTCHA eller en besked om, at et system skal repareres. Brugeren lokkes derefter til at kopiere og køre en kommando i PowerShell, dialogboksen Kør eller et andet kommandoværktøj.

Det gør den menneskelige interaktion til et vigtigt sted for både forebyggelse og opdagelse. En hjemmeside eller browserbesked bør aldrig kræve, at brugeren indsætter kommandoer i PowerShell, Terminal eller Kør for at gennemføre en kontrol eller løse en fejl.

Rapporter om telefonbaseret svindel via Teams og misbrug af Quick Assist indgår i det bredere landskab af social engineering. De tilgængelige oplysninger beviser dog ikke, at alle sådanne kampagner har leveret C2Looper. Sammenhængen bør derfor behandles som plausibel kontekst – ikke som bekræftet kampagnetilknytning.

Hvad bør forsvarere overvåge?

Organisationer kan fokusere på en håndfuld værdifulde adfærdssignaler i stedet for at forsøge at blokere alle værktøjer og tjenester, som malwaren kan bruge:

• Hyppig ukrypteret HTTP-trafik: Undersøg usædvanligt regelmæssige JSON POST-anmodninger, særligt trafik der minder om /api/beacon og /api/result/, når den kan forbindes med en ny eller mistænkelig proces.
• Mistænkelig GitHub-aktivitet: Led efter periodisk adgang til GitHub-repositorier eller API’er fra endpoints, der ikke normalt har brug for dem. Aktivitet i værtspecifikke mapper med cmd.json og result.json bør undersøges. GitHub bør ikke blokeres ukritisk, da udviklings- og automatiseringsarbejdsgange kan være legitime.
• DLL-sideloading via OneDrive: Lav alarmer, når en legitim OneDrive-eksekverbar fil kører fra en usædvanlig brugerprofilsti, indlæser en DLL fra en nærliggende skrivbar mappe eller starter uventede underprocesser.
• Kommandoeksekvering og systemkortlægning: Brug EDR-data til at finde mistænkelig PowerShell-, cmd.exe- og Kør-aktivitet, systemrekognoscering, trinvise downloads og shell-eksekvering fra nye binærfiler.
• Samlet Rust-adfærd: Se dynamisk API-opslag, krypterede strenge, netværkspolling og levering af payloads som et samlet mønster i stedet for at stole på én enkelt filegenskab.

Forebyggelse bør også handle om brugerne

Tekniske kontroller bør kombineres med beskyttelse mod social engineering. Begræns eller styr brugerinitieret PowerShell, scriptværter, usignerede binærfiler og eksekvering fra skrivbare brugermapper, når forretningens behov tillader det. Applikationsallowlisting kan yderligere begrænse muligheden for at køre en downloadet payload.

Medarbejdere og helpdesk-personale bør trænes i aldrig at indsætte kommandoer, som leveres af en hjemmeside, en CAPTCHA, en browserfejl eller en uopfordret supportkontakt. Værktøjer til fjernsupport bør kun bruges gennem godkendte arbejdsgange med verificerede supportkanaler, stærk autentificering, sessionslogning og hurtig kontrol af usædvanlige sessioner.

Netværkssegmentering, mindst mulige privilegier, multifaktorgodkendelse, hurtig opdatering af internetvendte systemer samt testede offline- eller uforanderlige sikkerhedskopier kan begrænse skaden, hvis C2Looper opdages. Hvis en computer viser mistænkelig beaconing, shell-aktivitet eller DLL-sideloading, bør den isoleres hurtigt, mens endpoint-logge, netværksdata og – hvor det er relevant – hukommelsesdata bevares til undersøgelsen.

Konklusion

C2Loopers betydning ligger i udviklingen fra en relativt enkel HTTP-bagdør til et mere fleksibelt implantat, der kan bruge GitHub-repositorier som operationel infrastruktur. Fjernshell, rekognoscering, download og opdatering gør den til et troværdigt værktøj til at etablere adgang i ransomware-relaterede angreb. Beviserne understøtter dog en forsigtig vurdering – ikke en endelig tilskrivning.

Det stærkeste forsvar er derfor en kombination af ClickFix-resistente arbejdsgange og adfærdsbaseret overvågning af usædvanlig kommandoeksekvering, OneDrive DLL-sideloading, hurtig HTTP-polling og uforklaret aktivitet i GitHub-repositorier.

De tilgængelige oplysninger dokumenterer ikke en entydig forbindelse til en navngiven ransomwaregruppe. Mulige ligheder med infrastrukturen bag blandt andre Oyster og Lactrodectus bør derfor ses som efterforskningsspor – ikke som bevis på fælles udviklere eller operativ kontrol.

Sådan fungerer de to versioner

Den ældre version: direkte HTTP-kontrol

Ældre C2Looper-prøver kommunikerer med en angriberstyret server via ukrypteret HTTP og bruger JSON-baserede instruktioner. De poller meget hyppigt, i nogle rapporter med cirka ét sekunds mellemrum. Det kan skabe et karakteristisk adfærdssignal på både netværket og den enkelte computer.

Malwarens beacon identificerer offeret med oplysninger som:

• Windows-brugernavn
• DNS-værtsnavn
• Proces-id’et for den kørende C2Looper-instans
• Et bot-id, der dannes ud fra værtsnavn og brugernavn

Beaconen sendes til stien /api/beacon, mens resultater fra udførte kommandoer sendes til /api/result/.

Operatøren får blandt andet mulighed for at:

• Udføre vilkårlige shell- eller systemkommandoer
• Indsamle oplysninger om værten
• Hente filer
• Opdatere implantatet og installere yderligere payloads

En særlig opdateringsfunktion bruger kommandoen upload. Den henter en bærbar eksekverbar fil fra en URL, som operatøren angiver, og gemmer den som en DLL i brugerens lokale OneDrive-mappe. Derefter kan malwaren stoppe OneDrive-processen og få en legitim OneDrive-eksekverbar fil til at indlæse det indsatte bibliotek gennem DLL-sideloading. I de rapporterede prøver blev filen gemt som wtsapi32.dll under %LocalAppData%\\Microsoft\\OneDrive.

Teknikken udnytter, at et legitimt program indlæser et bibliotek fra samme mappe. For forsvarere er signalet derfor ikke blot, at OneDrive findes på systemet, men at en legitim OneDrive-binærfil indlæser en uventet DLL fra en usædvanlig eller skrivbar placering.

Evasion i de ældre prøver

C2Looper dekrypterer strenge under kørsel ved hjælp af XOR. Ifølge rapporteringen genbruges en otte byte lang nøgle. Malwaren finder desuden dynamisk Windows-API’er gennem LoadLibrary og GetProcAddress.

Det kan gøre en simpel statisk analyse mindre effektiv og øger værdien af adfærdsdata fra endpoint detection and response-systemer (EDR).

Den nyere version: GitHub som kommando- og kontrolkanal

En nyere C2Looper-version dropper den traditionelle C2-server til fordel for GitHub-repositorier. Repositorierne bruges til at levere instruktioner, registrere beacons, modtage resultater og – ifølge rapporteringen om den nyere variant – håndtere data relateret til payloads.

Hver kompromitteret computer får sin egen mappe i et repository. Implantatet læser instruktioner fra cmd.json, udfører handlingen og skriver resultatet til result.json i den samme mappe. Det giver operatøren en enkel, filbaseret arbejdsgang til at sende kommandoer og hente svar uden en dedikeret C2-server.

GitHub er samtidig en legitim tjeneste, som bruges af udviklere og virksomheder. Derfor kan enkel blokering af domæner være mindre effektiv end adfærdsbaseret overvågning. Organisationer bør undersøge periodisk adgang til GitHub-repositorier eller API’er fra computere, der normalt ikke har behov for udviklings- eller CI/CD-tjenester.

Skiftet til GitHub og de yderligere funktioner til payload-eksekvering i nyere prøver tyder på, at C2Looper fortsat er under aktiv udvikling.

Mulig levering gennem ClickFix

ThreatLabz vurderer med lav til middel sikkerhed, at C2Looper kan blive leveret gennem en flertrinsinfektion af typen ClickFix. I sådanne kampagner møder brugeren eksempelvis en falsk bekræftelsesdialog, en browserfejl, en CAPTCHA eller en besked om, at et system skal repareres. Brugeren lokkes derefter til at kopiere og køre en kommando i PowerShell, dialogboksen Kør eller et andet kommandoværktøj.

Det gør den menneskelige interaktion til et vigtigt sted for både forebyggelse og opdagelse. En hjemmeside eller browserbesked bør aldrig kræve, at brugeren indsætter kommandoer i PowerShell, Terminal eller Kør for at gennemføre en kontrol eller løse en fejl.

Rapporter om telefonbaseret svindel via Teams og misbrug af Quick Assist indgår i det bredere landskab af social engineering. De tilgængelige oplysninger beviser dog ikke, at alle sådanne kampagner har leveret C2Looper. Sammenhængen bør derfor behandles som plausibel kontekst – ikke som bekræftet kampagnetilknytning.

Hvad bør forsvarere overvåge?

Organisationer kan fokusere på en håndfuld værdifulde adfærdssignaler i stedet for at forsøge at blokere alle værktøjer og tjenester, som malwaren kan bruge:

• Hyppig ukrypteret HTTP-trafik: Undersøg usædvanligt regelmæssige JSON POST-anmodninger, særligt trafik der minder om /api/beacon og /api/result/, når den kan forbindes med en ny eller mistænkelig proces.
• Mistænkelig GitHub-aktivitet: Led efter periodisk adgang til GitHub-repositorier eller API’er fra endpoints, der ikke normalt har brug for dem. Aktivitet i værtspecifikke mapper med cmd.json og result.json bør undersøges. GitHub bør ikke blokeres ukritisk, da udviklings- og automatiseringsarbejdsgange kan være legitime.
• DLL-sideloading via OneDrive: Lav alarmer, når en legitim OneDrive-eksekverbar fil kører fra en usædvanlig brugerprofilsti, indlæser en DLL fra en nærliggende skrivbar mappe eller starter uventede underprocesser.
• Kommandoeksekvering og systemkortlægning: Brug EDR-data til at finde mistænkelig PowerShell-, cmd.exe- og Kør-aktivitet, systemrekognoscering, trinvise downloads og shell-eksekvering fra nye binærfiler.
• Samlet Rust-adfærd: Se dynamisk API-opslag, krypterede strenge, netværkspolling og levering af payloads som et samlet mønster i stedet for at stole på én enkelt filegenskab.

Forebyggelse bør også handle om brugerne

Tekniske kontroller bør kombineres med beskyttelse mod social engineering. Begræns eller styr brugerinitieret PowerShell, scriptværter, usignerede binærfiler og eksekvering fra skrivbare brugermapper, når forretningens behov tillader det. Applikationsallowlisting kan yderligere begrænse muligheden for at køre en downloadet payload.

Medarbejdere og helpdesk-personale bør trænes i aldrig at indsætte kommandoer, som leveres af en hjemmeside, en CAPTCHA, en browserfejl eller en uopfordret supportkontakt. Værktøjer til fjernsupport bør kun bruges gennem godkendte arbejdsgange med verificerede supportkanaler, stærk autentificering, sessionslogning og hurtig kontrol af usædvanlige sessioner.

Netværkssegmentering, mindst mulige privilegier, multifaktorgodkendelse, hurtig opdatering af internetvendte systemer samt testede offline- eller uforanderlige sikkerhedskopier kan begrænse skaden, hvis C2Looper opdages. Hvis en computer viser mistænkelig beaconing, shell-aktivitet eller DLL-sideloading, bør den isoleres hurtigt, mens endpoint-logge, netværksdata og – hvor det er relevant – hukommelsesdata bevares til undersøgelsen.

Konklusion

C2Loopers betydning ligger i udviklingen fra en relativt enkel HTTP-bagdør til et mere fleksibelt implantat, der kan bruge GitHub-repositorier som operationel infrastruktur. Fjernshell, rekognoscering, download og opdatering gør den til et troværdigt værktøj til at etablere adgang i ransomware-relaterede angreb. Beviserne understøtter dog en forsigtig vurdering – ikke en endelig tilskrivning.

Det stærkeste forsvar er derfor en kombination af ClickFix-resistente arbejdsgange og adfærdsbaseret overvågning af usædvanlig kommandoeksekvering, OneDrive DLL-sideloading, hurtig HTTP-polling og uforklaret aktivitet i GitHub-repositorier.