Hackers distribuem o malware XLoader por meio de e-mails de phishing que se passam por pedidos de confirmação de compra, usando anexos maliciosos do Word para comprometer computadores com Windows.
Os e-mails pedem que o destinatário revise um arquivo DOCX (formato de documento do Word) anexado e confirme um pedido. Em vez de conter apenas informações de compra, o documento incorpora um arquivo RTF (Rich Text Format) malicioso, que inicia uma sequência de execução em várias etapas quando processado em um ambiente Office vulnerável.
O ataque explora o recurso “Importar conteúdo de outro documento” do Word, conhecido como altChunk, para processar o conteúdo RTF incorporado.
Dentro desse documento, um objeto OLE (Object Linking and Embedding, ou vinculação e incorporação de objetos) instala um arquivo VBScript (linguagem de script da Microsoft) malicioso em %TMP%\724812.vbs.
Outro objeto incorporado explora a vulnerabilidade CVE-2017-11882 (identificador de falhas de segurança conhecidas), relacionada ao Equation Editor, para executar o script.
O comando de execução, CmD.exe/Ccscript %tmp%\724812.vbs, inicia o Windows Script Host por meio do interpretador de comandos.
Essa distinção é importante: a cadeia de ataque documentada depende da exploração de um componente vulnerável, e não da persuasão do destinatário para habilitar uma macro maliciosa do Office. Ao abrir o anexo, sistemas suscetíveis ficam expostos às etapas de script seguintes.
O VBScript contém dados codificados em Base64 (método de codificação de dados), que são gravados em %TMP%\Quisque.Dal, e inicia um script PowerShell incorporado de primeira etapa.
Depois de decodificados, os dados contêm três componentes: um carregador, uma carga útil criptografada e um script PowerShell secundário. Essa estrutura carrega as etapas posteriores de execução dentro do material entregue.
Pesquisadores do AhnLab SEcurity intelligence Center (ASEC) identificaram uma cadeia de infecção que combina documentos incorporados, uma vulnerabilidade do Equation Editor, VBScript e PowerShell para entregar o informante.
Ataque com XLoader
A primeira etapa do PowerShell estabelece persistência por meio de três valores no registro do Windows. Ela salva o caminho do executável do PowerShell como TORO em HKCU\Environment (HKCU, ou HKEY_CURRENT_USER, ramo do registro do usuário atual) e armazena seu script como Laboris em HKCU\SOFTWARE\AppDataLow.
Em seguida, cria o valor Cupidatat em HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, o que faz com que a execução ocorra quando o usuário afetado fizer login.
A entrada Run recupera o script armazenado e invoca o PowerShell usando o caminho do executável salvo.
Por isso, investigadores que analisam o incidente devem correlacionar a entrada de inicialização com os diferentes locais do registro que armazenam os componentes de execução, em vez de tratar cada valor como um artefato isolado.
Na sequência, o script da primeira etapa descriptografa %TMP%\Quisque.Dal e executa o PowerShell da segunda etapa. Esse script inicia o carregador e fornece a carga útil criptografada como argumento.
O carregador aplica a descriptografia XOR (ou exclusivo) usando 0x6B506102 e, em seguida, executa na memória a carga útil resultante do XLoader.
A ASEC identifica o malware final como XLoader, que rouba informações do sistema e dados de navegadores e pode baixar malware adicional.
O endereço de comando e controle informado é hxxp://www.dumbsplash[.]com/ilto/. Essas capacidades tornam a infecção um possível ponto de partida para novos comprometimentos, e não apenas um evento isolado de coleta de dados.
A técnica lembra uma investigação da ASEC de abril de 2025 que envolveu e-mails de confirmação de compra, documentos DOCX e RTF maliciosos e a mesma vulnerabilidade do Equation Editor. Naquela cadeia, o XLoader foi instalado por meio do HorusProtector e usou o arquivo Client.vbe. Isso demonstra táticas recorrentes, mas não comprova que o mesmo operador conduziu as duas campanhas.
As organizações devem priorizar as atualizações de segurança do Office e eliminar instalações vulneráveis do Equation Editor. Os defensores podem usar os arquivos temporários, os valores do registro, a atividade de scripts e o endereço de comando e controle informados como pistas para investigação.
Funcionários que lidam com pedidos de compra inesperados devem verificar as solicitações de forma independente antes de abrir anexos, especialmente quando um remetente desconhecido apresenta uma transação não solicitada ou pede a revisão urgente de um documento.
IOCs (indicadores de comprometimento)
Observação: endereços IP (Internet Protocol) e domínios foram intencionalmente desfigurados (por exemplo, com [.]) para evitar resolução ou links acidentais. Restaure o formato original apenas em plataformas controladas de inteligência de ameaças, como MISP (plataforma de compartilhamento de inteligência de ameaças), VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
