Uma família de packers para Windows conhecida como pkr_mtsi voltou a ser identificada em campanhas amplas de malvertising que distribuíram diversas famílias de malware. O pacote atua como um carregador genérico e tem evoluído em técnicas de ofuscação e anti‑análise.
Descoberta e escopo
Pesquisadores da ReversingLabs rastrearam o pkr_mtsi desde sua primeira detecção em 24 de abril de 2025. Segundo o relatório compilado pelo veículo, o packer tem sido usado em sites de download falsos que imitam ferramentas populares — entre elas PuTTY, Rufus e Microsoft Teams — e que obtêm visibilidade por meio de malvertising e técnicas de SEO poisoning.
Vetor e comportamento técnico
O pkr_mtsi funciona como um loader de uso geral, não como um wrapper de payload único: sites comprometidos ou fraudulentos oferecem instaladores trojanizados que, quando executados, desencadeiam uma cadeia de estágios de unpacking e reconstrução de payloads na memória. ReversingLabs descreve diferenças entre amostras antigas e recentes na alocação de memória e resolução de APIs:
- Versões iniciais usavam VirtualAlloc; variantes mais recentes empregam chamadas ofuscadas a ZwAllocateVirtualMemory.
- Payloads intermediários são reconstruídos a partir de pequenos blocos (1–8 bytes) embutidos no fluxo de instruções; versões mais novas aplicam rotinas de decodificação antes da escrita em memória.
- Algumas variantes resolviam DLLs e APIs por strings em texto claro; as mais recentes usam identificadores hasheados e travessia do Process Environment Block.
Evasão e persistência
ReversingLabs nota uso extensivo de chamadas inúteis a APIs GDI como ruído para dificultar análise estática e comportamental. O packer existe em formatos EXE e DLL; variantes DLL expõem exportações como DllRegisterServer, permitindo carregamento via regsvr32.exe e persistência ligada ao registro/COM. O estágio intermediário consiste em um módulo UPX modificado com cabeçalhos e magic values removidos para frustrar ferramentas automáticas de unpacking.
Famílias de malware entregues
O pkr_mtsi não empacota apenas um tipo de malware: é reportado como vetor para diversas famílias, incluindo Oyster, Vidar, Vanguard Stealer e Supper. A amplitude de famílias indica intenção de uso como infraestrutura de distribuição para campanhas de roubo de credenciais, spyware e trojans diversos.
Detecção e limitações das defesas
Apesar da evolução técnica, o packer mantém assinaturas comportamentais que auxiliam a detecção. ReversingLabs observou que produtos AV frequentemente marcam amostras por substrings como "oyster" ou "shellcoderunner", embora a cobertura ainda seja inconsistente entre ferramentas. O relatório aponta, portanto, uma combinação de características confiáveis para assinatura e técnicas novas que aumentam a carga sobre análise automática.
O que falta e implicações operacionais
Os relatos públicos descrevem vetores (sites falsos, malvertising), famílias de payload e técnicas de ofuscação, mas não quantificam números de vítimas ou regiões mais atingidas. Também não há indicação de exploração de supply chain legítima — os ataques baseiam‑se em sites falsificados e malvertising — tornando o controle de reputação e monitoramento de downloads externos medidas prioritárias para defesa.
Recomendações práticas (com base nas observações do relatório)
- Monitorar tráfego de download e blocos de URL que imitam domínios oficiais de ferramentas amplamente usadas.
- Inspecionar instaladores baixados em ambientes sandbox e validar assinaturas/indicadores de integridade antes de distribuição interna.
- Aprimorar detecção EDR por comportamentos de alocação e reconstrução em memória, e não apenas por hashes estáticos.
Fonte: ReversingLabs, compilado por Cyber Security News. O texto utiliza descrições e citações técnicas presentes no relatório público citado pelo veículo.