LausivLoader: loader multiestágio usa variáveis de ambiente herdadas para repassar dados entre camadas de infecção
Um analista do SANS Internet Storm Center dissecou uma campanha de malspam com isca de cotação de fibra óptica que entrega um loader batizado de LausivLoader, encadeando JavaScript, PowerShell e dois módulos .NET até baixar um payload final escondido em metadados de uma imagem PNG. O ponto mais interessante da análise não é o payload em si, mas o mecanismo de handoff entre estágios: em vez de gravar comandos completos em disco ou em linha de comando, o loader troca dados por variáveis de ambiente herdadas via processo intermediário conhost.exe.
A campanha foi capturada em um gateway de e-mail corporativo, disfarçada de pedido de cotação para um sistema de fibra óptica e falsificando a identidade de um funcionário de empresa legítima. A mensagem foi barrada pelo antispam por conter anexo malicioso, e mesmo que passasse, falhas em SPF e DMARC provavelmente a teriam feito cair em quarentena de qualquer forma — mas o anexo foi resgatado e analisado em profundidade justamente por essa razão: campanhas bloqueadas continuam sendo fonte valiosa de IOCs e de técnicas em desenvolvimento.
Tecnicamente, a cadeia começa com um JavaScript fortemente ofuscado (com centenas de linhas de comentários aleatórios só para atrapalhar leitura humana) que grava dois arquivos temporários em uma pasta de nome aleatório dentro de %TEMP%. Em vez de simplesmente invocar o PowerShell com uma linha de comando contendo o payload — o que deixaria rastro claro em logs de linha de comando e em soluções de EDR — o script salva os caminhos desses arquivos em variáveis de ambiente do próprio processo. O PowerShell subsequente herda esse ambiente através do conhost.exe, lê as variáveis e só então localiza e decodifica o conteúdo, que passa por camadas de AES-128-CBC, GZip/DEFLATE e RC4 antes de virar um primeiro carregador .NET que tenta neutralizar o AMSI. Um segundo módulo .NET, menor, baixa de um servidor externo uma imagem PNG que contém o payload final escondido dentro de um chunk iTXt — uma técnica clássica de esteganografia usada aqui para evitar que o tráfego de rede pareça exfiltração ou download de executável.
O motivo pelo qual essa amostra chamou atenção do analista, e o motivo pelo qual interessa a quem faz DFIR, é justamente essa fragmentação deliberada da cadeia de execução. Uma análise de linha de comando do processo PowerShell, isolada, não revela para onde os dados vieram nem para onde vão: é preciso correlacionar processo pai/filho, variáveis de ambiente herdadas e artefatos temporários voláteis para reconstruir a cadeia completa. Isso é exatamente o tipo de lacuna que ferramentas de resposta a incidente com foco só em linha de comando (sem captura de ambiente de processo) deixam passar.
Na prática, o caso reforça duas lições operacionais: primeiro, que ferramentas de EDR e de coleta forense de processos em memória precisam capturar não só argumentos de linha de comando, mas também o bloco de variáveis de ambiente herdado por processos filhos, algo frequentemente negligenciado em coletas rápidas de triagem. Segundo, que esteganografia em PNG como canal de entrega de payload final continua sendo um vetor de baixa detecção em soluções de rede baseadas em assinatura, o que exige inspeção de conteúdo de imagem (não só de cabeçalho) em sandboxes e pipelines de detonação de anexos.