Alerta de Ameaça: Campanha Veil#Drop Emprega PowerShell e Blogspot para Distribuir PureLog Stealer

A campanha Veil#Drop eleva a barra na sofisticação de ataques multi-estágio, usando uma combinação astuta de PowerShell e infraestrutura legítima, como o Blogspot, para distribuir o infostealer PureLog. O ataque se inicia com um arquivo JavaScript disfarçado de documento (por exemplo, "transcript.pdf.js"). Este arquivo, ao ser executado, aciona o Windows Script Host, que por sua vez invoca scripts PowerShell com o ExecutionPolicy Bypass ativado. A estratégia de usar Blogspot para hospedar e entregar payloads não é nova, mas ganha um novo contorno aqui, explorando a confiança nessas plataformas para contornar controles de segurança baseados em reputação.

Uma das táticas mais eficazes do Veil#Drop é sua abordagem fileless. Os payloads são codificados em XOR, decodificados diretamente na memória e carregados como assemblies .NET via reflection (Reflection.Assembly::Load()). Isso significa que nenhum arquivo executável tradicional é gravado em disco, dificultando a detecção por antivírus baseados em assinatura. A campanha também abusa de binários legítimos do sistema (LOLBINs), como RegSvcs, InstallUtil e MSBuild, para garantir a execução do malware mesmo em ambientes com controles de aplicação rigorosos. Essa combinação de evasão e persistência marca uma tendência preocupante observada em outras campanhas, como aquelas analisadas pelo CEVIU News em "Quando Sites Confiáveis se Tornam Maliciosos", de 16 de março de 2026, que também explorava o abuso de PowerShell em sites comprometidos.

A campanha Veil#Drop ilustra a evolução contínua das técnicas de ataque, refinando táticas já observadas em incidentes anteriores. Enquanto o CEVIU News já cobriu campanhas que abusavam de PowerShell e de infraestrutura legítima, como em "Quando Sites Confiáveis se Tornam Maliciosos" (16 de março de 2026) e "Dropping Elephant ataca" (19 de junho de 2026), o Veil#Drop aprimora essa abordagem. A integração de Blogspot como C2 e repositório de payloads, combinada com a execução 100% em memória via .NET reflection e o uso extensivo de LOLBINs, representa um avanço significativo na evasão de detecção. O que antes eram técnicas potentes isoladas, agora formam um framework mais coeso e furtivo, dificultando ainda mais a análise forense e a resposta a incidentes.

O Veil#Drop é um lembrete crítico de que as defesas tradicionais estão sob constante desafio. A combinação de engenharia social, abuso de infraestrutura de nuvem confiável e técnicas de execução fileless torna a detecção uma tarefa complexa. Para as empresas, isso significa que a proteção precisa ir além do antivírus de assinatura, exigindo soluções de EDR (Endpoint Detection and Response) avançadas, análise comportamental e treinamento contínuo de conscientização para os usuários. A proliferação de infostealers como o PureLog, com capacidade de roubar credenciais, dados de navegador e carteiras de criptomoedas, representa uma ameaça direta à segurança dos dados corporativos e financeiros.