Campanha do malware Guildma/Astaroth usa e-mail em português brasileiro e ADS para infectar vítimas no Brasil
O ISC SANS documentou uma infecção real do trojan bancário Guildma (também rastreado como Astaroth) iniciada por e-mail de phishing em português, disfarçado de contrato digital e com geofencing para só entregar a carga a sistemas configurados no Brasil. A cadeia de infecção usa atalho LNK, Alternate Data Streams para ocultar uma DLL e um script AutoIt compilado para persistência, comunicando-se com C2 hospedado em infraestrutura legítima como Azure Web Apps.
O caso analisado começa com um e-mail de phishing escrito em português brasileiro, simulando um contrato digital, cujo link malicioso é geofenced: só entrega o payload a visitantes cujo idioma e região do sistema estejam configurados como Brasil, uma técnica que dificulta a análise automatizada por sandboxes e honeypots localizados fora do país-alvo. A partir do clique, a vítima baixa um arquivo ZIP de pouco mais de 1,6 KB contendo um atalho do Windows (.lnk) que, ao ser executado, busca conteúdo adicional em um servidor remoto.
O ponto tecnicamente mais notável da cadeia é o uso de Alternate Data Streams (ADS) do NTFS para esconder uma DLL de 64 bits (cerca de 260 KB) dentro de um arquivo aparentemente inofensivo em `AppData\Local\Temp`, um truque de ocultação que escapa de listagens de diretório convencionais e de ferramentas de triagem que não inspecionam explicitamente fluxos alternativos. Essa DLL, por sua vez, carrega um script AutoIt compilado (~278 KB) salvo em um caminho profundamente aninhado sob `C:\Users\Public\Libraries`, responsável pela persistência final do malware. A comunicação com o C2 ocorre via HTTPS/443 e também via TCP através de domínios hospedados em Azure Websites e em serviços de túnel como pinggy.link — abuso de infraestrutura legítima que dificulta bloqueio por reputação de domínio, já que o tráfego se mistura com serviços cloud confiáveis.
Na prática, esse tipo de relato importa por dois motivos combinados: primeiro, Guildma/Astaroth é uma família de malware bancário historicamente focada em vítimas brasileiras e latino-americanas, então a campanha tem relevância direta para SOCs e equipes de resposta a incidentes no Brasil; segundo, as técnicas descritas — geofencing de payload, abuso de ADS para esconder binários, e uso de nuvem legítima como C2 — são táticas que exigem ajustes específicos na triagem forense: exame explícito de streams alternativos (`dir /r`, ou parsers de ADS em ferramentas como Autopsy/Encase), análise de memória para capturar o script AutoIt em execução (que não fica claro em disco antes de decodificado), e monitoramento de egress para os domínios e hashes publicados no artigo.
Para quem faz caça a ameaças ou perícia pós-incidente, os IOCs publicados (hashes do ZIP, do LNK, da DLL em ADS, e os domínios de C2) são diretamente acionáveis para busca retroativa em logs de proxy/DNS e em telemetria EDR, o que torna o relato mais um catálogo de artefatos de investigação do que apenas um aviso genérico de phishing.