Descoberta e evolução
De acordo com o relatório citado, o malware Gootloader retornou em novembro de 2025 com capacidades projetadas para escapar de sistemas modernos de segurança. O operador age como um initial access broker, entregando acesso inicial que outros atores (por exemplo, grupos de ransomware como Rhysida) exploram em fases posteriores.
Vetor de entrega: arquivos ZIP malformados
A campanha utiliza arquivos ZIP deliberadamente malformados que contêm centenas de arquivos concatenados e valores aleatórios em campos críticos. Essa estrutura causa falhas em ferramentas de extração e análise automatizada (7zip, WinRAR, scanners), enquanto o descompactador padrão do Windows consegue abrir o pacote, permitindo que vítimas executem o payload com facilidade.
Mecanismo de persistência e execução
Ao abrir o arquivo malicioso, a vítima recebe um JScript que é executado via Windows Script Host quando o usuário dá duplo-clique. O script cria atalhos no diretório de inicialização do usuário apontando para um segundo JScript em diretório aleatório, garantindo persistência no reinício do sistema. Em seguida, o JScript inicia um processo PowerShell com comandos fortemente ofuscados para baixar cargas secundárias de infraestrutura controlada pelos atacantes.
Técnicas de evasão — 'hashbusting' e randomização
O relatório destaca que cada amostra enviada a vítimas é única: o formato do ZIP e valores internos são randomizados, uma técnica chamada no texto de "hashbusting". Isso impede a detecção baseada em hashes e diminui a eficácia de assinaturas estáticas, forçando defensores a depender de análise comportamental e inspeção mais profunda do tráfego e do conteúdo.
Evidências e priorização defensiva
Analistas da Expel, citados na reportagem, descreveram as características do packer e do arquivo ZIP, incluindo fragmentos truncados e campos randômicos que levam a erros de parsing em scanners tradicionais. O texto também indica que, em anos anteriores, amostras do Gootloader representavam parcela relevante do malware que conseguia burlar soluções de segurança.
Mitigações práticas apontadas
- Evitar a execução de JScript por políticas (GPO) ou reassociar a extensão .js para abrir em editores de texto ao invés do Windows Script Host.
- Monitorar cadeias de processo suspeitas envolvendo PowerShell e identificar comandos ofuscados que iniciem conexões externas.
- Detectar uso de nomes curtos NTFS e presença de atalhos incomuns na pasta de inicialização como indicadores de persistência.
- Aplicar regras YARA e heurísticas específicas para identificar estruturas de ZIP malformadas e amostras que empreguem concatenação massiva.
Impacto operacional
Como initial access broker, o Gootloader amplia o risco organizacional ao facilitar subsequentes implantações de ransomware e outras ameaças. A capacidade de evitar mecanismos de análise automática amplia a janela de atividade maliciosa antes da detecção e resposta.
Fonte: Cyber Security News (citando análises da Expel).