Veil#Drop: campanha usa serviços da Google para instalar malware de forma furtiva
Uma nova operação maliciosa, batizada de Veil#Drop, vem chamando a atenção de especialistas em cibersegurança. A campanha combina engenharia social, abuso de infraestrutura legítima da Google (especialmente o Blogspot), scripts JavaScript e PowerShell e carregamento em memória para distribuir o PureLog Stealer, um malware voltado ao roubo de credenciais e dados sensíveis.
Segundo pesquisadores da Securonix, o ataque é altamente ofuscado e projetado para evitar ao máximo as soluções tradicionais de proteção.
—
Como começa a infecção: o vetor inicial
O ataque se inicia com um arquivo JavaScript disfarçado, usando nomes que simulam documentos legítimos, como `transcript.pdf.js`.
No Windows, a extensão real pode ficar oculta, fazendo a vítima acreditar que está abrindo apenas um PDF inocente.
Quando o usuário executa o arquivo, ele é interpretado pelo Windows Script Host (wscript.exe). A partir daí, o script ativa o PowerShell com a política de execução ignorada (bypass), abrindo caminho para a execução de comandos avançados sem restrições visíveis.
O primeiro comando PowerShell tem um papel crítico: ele se conecta a uma página do Blogspot controlada pelos criminosos, por exemplo:
`htlwub00klocate.blogspot.com/phud.dudus.docx.pdf.olp.sys`
Utilizando o cmdlet Invoke-RestMethod, o conteúdo hospedado nessa URL é baixado diretamente para a memória. Em seguida, com Invoke-Expression, esse conteúdo é executado imediatamente, sem ser salvo em disco, o que dificulta a análise por antivírus baseados em arquivos.
—
Segundo estágio: loader em PowerShell e distração da vítima
O segundo estágio (`phud.dudus.docx.pdf.olp.sys`) funciona como um loader PowerShell multifunção. Ele:
– Faz o download de um documento isca (geralmente um arquivo que parece legítimo) para manter a vítima distraída, reforçando a ideia de que ela realmente abriu um documento autêntico.
– Encerra processos associados a scripts e ferramentas de automação, como `mshta.exe`, `msbuild.exe`, `wscript.exe`, entre outros, reduzindo a chance de detecção.
– Apaga o arquivo JavaScript original, removendo um dos principais vestígios do início da infecção.
– Decodifica um payload embutido por meio de uma rotina de XOR personalizada, utilizando a chave `”Lund@@@12345″` para transformar dados aparentemente inofensivos em código malicioso executável.
Além disso, esse script gera dinamicamente a URL que será usada para o próximo estágio da infecção, algo como:
`cpyzaramay26.blogspot.com/niple.docx.odp.pdf.sys`
Para confundir mecanismos de detecção baseados em padrões, o malware pode introduzir um número aleatório de barras (/) na URL, mudando o formato e tentando escapar de assinaturas estáticas.
—
Estágio final: decodificação avançada e reconstrução de binários .NET
No último estágio (`niple.docx.odp.pdf.sys`), o PowerShell lida com duas grandes variáveis contendo dados numéricos em formato decimal (`$lora` e `$PE`). Esses dados, à primeira vista, não parecem maliciosos, mas escondem o verdadeiro payload.
Uma função chamada Convert-XorDecimalToExe é responsável pela “magia”:
1. Reorganiza e reconstrói os blocos de dados.
2. Reverte a string resultante.
3. Converte cada valor decimal em um byte.
4. Aplica um novo processo de decodificação XOR, desta vez usando a chave numérica 47.
5. A partir disso, gera dois assemblies .NET na memória:
– `decoded_1.bin` – identificado como o PureLog Stealer.
– `decoded_2.bin` – um loader de suporte, usado para garantir a execução do principal.
Esses assemblies são carregados diretamente na memória usando `[Reflection.Assembly]::Load()`. Em outras palavras, o malware nunca precisa gravar o executável em disco, o que reduz drasticamente a chance de ser identificado por soluções que dependem de análise de arquivos.
—
Uso de LOLBINs: abusando de binários legítimos da Microsoft
Para maximizar a taxa de sucesso, a campanha Veil#Drop não se apoia em um único método de execução. Caso o carregamento reflexivo em .NET falhe por algum motivo, o framework dispõe de vários mecanismos de fallback que fazem uso de LOLBINs (Living-off-the-Land Binaries) – binários legítimos da Microsoft, assinados e considerados confiáveis em muitos ambientes corporativos.
Entre os binários abusados, destacam-se:
– `RegSvcs`
– `InstallUtil`
– `MSBuild`
– `CSC`
– `VBC`
– `ILAsm`
– `AspNet_Compiler`
Executando o malware por meio desses processos legítimos, os atacantes conseguem:
– Driblar listas de permissão (allowlists), que geralmente confiam em binários assinados pela Microsoft.
– Contornar controles de aplicações que bloqueiam apenas executáveis “não confiáveis”.
– Misturar o tráfego e o comportamento malicioso com a atividade normal do sistema, tornando a detecção baseada em comportamento mais complexa.
—
O que é o PureLog Stealer e o que ele consegue roubar
Uma vez carregado com sucesso, o PureLog Stealer entra em ação. Esse tipo de malware é conhecido como stealer porque seu objetivo central é roubar informações sensíveis do dispositivo infectado.
Entre os alvos principais estão:
– Navegadores: Chrome, Edge, Firefox, Brave, Opera
– De onde extrai:
– Credenciais salvas (usuário e senha).
– Cookies.
– Sessões ativas.
– Dados de preenchimento automático (autofill), como endereços, telefones e até dados parciais de cartões.
– Carteiras de criptomoedas:
– MetaMask
– Exodus
– Atomic Wallet
– Electrum
– Trust Wallet
O malware tenta capturar chaves, frases-semente, arquivos de carteira ou dados que permitam o controle dos ativos digitais.
– Informações de reconhecimento de sistema:
– Versão do sistema operacional.
– Idioma e fuso horário.
– Lista de programas instalados.
– Informações de hardware.
Esses dados são enviados para servidores de Comando e Controle (C2) controlados pelos criminosos, que podem então:
– Tomar conta de contas em redes sociais, e-mails, serviços de nuvem e bancos.
– Realizar fraudes financeiras e compras indevidas.
– Usar o acesso a contas corporativas para movimentação lateral em redes empresariais, abrindo caminho para ataques mais devastadores, como ransomware.
O PureLog opera de forma extremamente silenciosa. Em muitos casos, não há sintomas visíveis para o usuário, o que permite que a infecção permaneça ativa por semanas ou meses sem ser percebida.
—
Por que essa campanha é tão difícil de detectar
A Veil#Drop combina diversas técnicas modernas que complicam a vida das equipes de segurança:
1. Abuso de infraestrutura legítima
O uso de serviços de uma grande empresa, como o Blogspot, dificulta bloqueios agressivos. Muitos ambientes não podem simplesmente barrar todo o tráfego para esses domínios sem impactar usuários legítimos.
2. Execução fileless (sem arquivos persistentes)
Grande parte do código malicioso é baixado e executado diretamente na memória, sem criar arquivos clássicos de malware. Isso reduz a eficácia de antivírus tradicionais, que dependem da análise de arquivos em disco.
3. Ofuscação múltipla e uso de XOR
A cadeia de infecção aplica várias camadas de ofuscação, com diferentes chaves XOR e formatos de dados (como listas de decimais), o que torna mais difícil para ferramentas de análise automatizada decifrarem o conteúdo.
4. LOLBINs e abuso de binários confiáveis
Ao executar o código por meio de binários nativos do Windows, assinados pela Microsoft, o ataque se camufla em processos comumente presentes em qualquer ambiente, reduzindo alertas falsos e passando despercebido por muitos controles.
—
Impacto para usuários domésticos e empresas
O impacto potencial da Veil#Drop e do PureLog Stealer é significativo:
– Para usuários comuns:
– Perda de contas de e-mail, redes sociais, serviços de streaming e internet banking.
– Risco de vazamento de dados pessoais e documentos.
– Possibilidade de ter identidades usadas para golpes e fraudes em nome da vítima.
– Para empresas:
– Comprometimento de credenciais corporativas e acesso a VPNs.
– Risco de invasão de ambientes internos, exfiltração de dados confidenciais e espionagem.
– Possibilidade de o acesso obtido ser revendido a outros grupos, inclusive operadores de ransomware.
Em ambos os cenários, o fato de o malware ficar ativo sem dar sinais claros aumenta a janela de tempo em que os criminosos podem explorar os dados roubados.
—
Como reduzir o risco de infecção por campanhas como Veil#Drop
Embora a Veil#Drop utilize técnicas avançadas, algumas boas práticas reduzem bastante a probabilidade de sucesso desse tipo de ataque:
1. Cautela com anexos e arquivos recebidos
– Desconfie de “documentos” com extensões duplas ou estranhas (`.pdf.js`, `.docx.exe`, etc.).
– Habilite a exibição de extensões de arquivo no Windows para enxergar o tipo real do arquivo.
2. Uso de soluções de segurança com foco em comportamento
– Prefira ferramentas de segurança que monitorem comportamentos suspeitos (como scripts chamando PowerShell com parâmetros suspeitos) e não apenas arquivos em disco.
3. Restrição de uso de PowerShell e scripts
– Em ambientes corporativos, aplicar políticas de restrição ao PowerShell, WScript e outros interpretadores de script reduz a superfície de ataque.
– Implementar AppLocker ou soluções de allowlist mais avançadas pode bloquear a execução de scripts não autorizados.
4. Monitoramento de LOLBINs
– Estabelecer alertas e regras de monitoramento para uso incomum de binários como `InstallUtil`, `MSBuild` ou `RegSvcs` ajuda a identificar potenciais abusos.
5. Atualizações e higiene digital
– Manter sistemas, navegadores e aplicações atualizados.
– Evitar armazenar senhas diretamente no navegador, usando gerenciadores de senha dedicados.
– Ativar autenticação em duas etapas (MFA) sempre que possível, mitigando o impacto do roubo de credenciais.
—
Tendência: uso de serviços legítimos para distribuição de malware
A Veil#Drop evidencia uma tendência crescente no cenário de ameaças: criminosos usando plataformas legítimas para hospedar e distribuir partes de sua infraestrutura. Serviços de blogs, armazenamento em nuvem, encurtadores de URL e até ferramentas de colaboração são constantemente abusados.
Isso acontece porque:
– Esses domínios geralmente têm boa reputação, passando por filtros básicos de reputação de URL.
– Bloquear completamente tais serviços costuma ser inviável em ambientes corporativos que dependem deles.
– A rotatividade de conteúdos nesses serviços dificulta o uso de listas de bloqueio estáticas.
A defesa, portanto, precisa ir além de “permitir ou bloquear domínios”, adotando um modelo mais granular, orientado por contexto, comportamento e análise em profundidade.
—
Conclusão: uma campanha que ilustra o alto nível das ameaças atuais
A campanha Veil#Drop é um exemplo claro de como ameaças modernas combinam:
– Engenharia social bem pensada.
– Abuso de infraestrutura legítima.
– Execução em memória e múltiplos estágios de ofuscação.
– Uso estratégico de LOLBINs e .NET.
O resultado é um ataque difícil de detectar, capaz de instalar o PureLog Stealer de forma discreta e eficaz, focado em roubar credenciais, criptomoedas e acesso a sistemas corporativos.
Para usuários e empresas, entender como essas campanhas funcionam é o primeiro passo para fortalecer defesas, revisar políticas de uso de scripts, aprimorar monitoramento e investir em soluções que enxerguem além da simples análise de arquivos. O cenário mostra que a proteção hoje precisa ser camadas sobre camadas, combinando tecnologia, processo e conscientização contínua.