Campanha de phishing bancário usa AutoIT para injetar payload via process hollowing
Diário do SANS ISC detalha uma cadeia de infecção que começa com um e-mail falso de banco e um RAR malicioso, passa por scripts VBS/PowerShell ofuscados e termina com um script AutoIT injetando shellcode no processo legítimo charmap.exe para executar o keylogger VIPKeylogger. A análise expõe cada camada de ofuscação e as chamadas de API usadas na injeção.
O diário publicado pelo Internet Storm Center (SANS ISC) descreve uma campanha real observada na qual a vítima recebe um e-mail se passando por comunicação bancária, com um anexo RAR nomeado "Bank_account_details.rar". A abertura do anexo dispara uma cadeia de scripts VBS e PowerShell fortemente ofuscados (payloads em Base64 combinados com XOR usando chaves 0x02 e 0x3D), cujo objetivo final é entregar um script AutoIT que realiza a injeção do payload malicioso.
O ponto técnico central do artigo é o uso do interpretador AutoIT3 como camada de execução: o script ("wwman") lê um arquivo auxiliar ("Ennnn") contendo shellcode cifrado com XOR (chave 0xEC), decodifica-o e usa a sequência clássica de APIs do kernel32.dll — OpenProcess, VirtualAllocEx, WriteProcessMemory e CreateRemoteThread — para realizar process hollowing/injeção remota dentro do processo legítimo charmap.exe. Ao rodar sob um binário assinado da própria Microsoft, a atividade maliciosa fica mais difícil de destacar em soluções de EDR baseadas em reputação de processo. O payload final é o keylogger VIPKeylogger, que se comunica com o C2 cphost17[.]qhoster[.]net, e a persistência é estabelecida via a chave de registro Run em HKCU.
O AutoIT continua sendo abusado há anos por ser leve, fácil de compilar em executáveis autônomos e por não levantar tantas suspeitas quanto scripts PowerShell puros. Para times de DFIR e caça a ameaças, o caso reforça a necessidade de monitorar criação de processos filhos por binários do sistema como charmap.exe, alertar sobre sequências de API de injeção remota em processos que normalmente não as usam, e tratar múltiplas camadas de ofuscação (Base64+XOR encadeados) como sinal forte de tentativa de evasão — um padrão reutilizável em regras Sigma/YARA e em playbooks de resposta a phishing bancário.