Descoberta e escopo
Cibercriminosos encontraram uma nova maneira de esgueirar malware além das ferramentas de segurança de e-mail, e desta vez estão se escondendo atrás de um nome que a maioria dos sistemas confia sem questionar. Uma campanha recente de malspam foi pega usando a própria infraestrutura de rastreamento de anúncios do Google DoubleClick para rotear vítimas em direção a um carregador .NET sem arquivo, um tipo de malware que roda quase inteiramente na memória e deixa muito pouco rastro para investigadores.
Os pesquisadores da Huntress identificaram esta campanha em maio de 2026 após a equipe de SOC responder a uma infecção de carregador .NET. O ataque começa com um e-mail de malspam carregando um arquivo HTML malicioso chamado Bestellung_2026.html, que é alemão para "ordem de compra", sugerindo que os atacantes podem ter visado especificamente empresas de língua alemã.
Cadeia de entrega
O anexo HTML contém um redirecionamento meta-refresh de zero segundos que empurra silenciosamente o navegador da vítima para uma URL de rastreamento de cliques do Google DoubleClick em ad.doubleclick[.]net. Como este é um domínio legítimo e amplamente confiável de propriedade do Google, a maioria dos gateways de e-mail e filtros de reputação de URL não sinaliza isso. Quando a vítima atinge a infraestrutura controlada pelo atacante, a parte mais suspeita da cadeia já está bem atrás deles.
O que se segue é uma página de isca personalizada que lê o e-mail da vítima da URL, puxa o logotipo da empresa ao vivo e mostra a cidade e hora local do espectador para parecer convincente. A vítima vê um botão para baixar o que parece ser um PDF, mas clicar nele entrega um arquivo ZIP contendo o payload real. O ZIP contém um arquivo JScript que serve como a primeira etapa de uma cadeia de infecção de cinco etapas.
Técnicas de evasão
O script se realoca para um diretório estável e depois decodifica e solta um script PowerShell ofuscado. Esse dropper verifica se a vítima está online e, se a máquina parecer offline, força uma reinicialização em vez de simplesmente sair. Ele também verifica ferramentas de análise conhecidas como Wireshark e any.run, reiniciando a máquina se qualquer uma for detectada, um movimento deliberado para frustrar pesquisadores de segurança.
O estágio PowerShell baixa um carregador .NET de um servidor remoto, que roda inteiramente na memória usando reflexão .NET. O carregador injeta-se em ferramentas de sistema legítimas e assinadas pela Microsoft como InstallUtil.exe ou MSBuild.exe, dando-lhe cobertura sob processos que o Windows confia totalmente. Em nenhum ponto o payload principal escreve um arquivo malicioso reconhecível no disco, tornando extremamente difícil para ferramentas antivírus tradicionais detectarem.
Indicadores de comprometimento
Uma vez dentro de um processo confiável, o carregador trabalha para cegar as defesas nativas do Windows. Ele corrói tanto o AMSI quanto o ETW, os dois principais motores de telemetria do Windows que dependem para detectar comportamento suspeito, no nível de memória nativa. Ferramentas de segurança que dependem desses sistemas param de receber sinais úteis antes que o atacante estabeleça persistência na máquina.
O carregador então configura persistência através de chaves de registro de execução do Windows e tarefas agendadas, usando nomes de pastas com tema NVIDIA para se misturar com o que parece ser atividade de driver rotineira. Ele se comunica com dois servidores de comando e controle sobre uma porta não padrão usando criptografia AES e pode baixar payloads adicionais ou executar comandos inteiramente da memória. A Huntress recomenda que as organizações configurem um Objeto de Política de Grupo para forçar tipos de arquivo de script como .js, .vbs e .hta a abrir no Bloco de Notas por padrão em vez de executar.