Malware GuLoader
O GuLoader é um tipo de malware trojan que foi descoberto pela primeira vez em dezembro de 2019. Ele geralmente atua como o primeiro estágio em uma cadeia de infecções por malware, baixando e instalando outros tipos de malware depois de obter acesso a um host. O malware originalmente baixou o Parallax RAT, mas evoluiu e se ramificou para distribuir uma ampla gama de ransomware e trojans bancários, incluindo Netwire, FormBook e Agent Tesla.
O GuLoader é uma das várias ameaças de trojan que as organizações enfrentam. O GuLoader se destaca por seus recursos de antidetecção e evasão. O malware usa uma série de técnicas para evitar a detecção, incluindo empacotamento, criptografia, esvaziamento de processos e o uso de sites legítimos como infraestrutura de comando e controle.
Como o GuLoader funciona?
O GuLoader é um trojan de acesso remoto (RAT), o que significa que ele se baseia em truques e na aparência benigna para obter acesso inicial a um sistema. Os vetores comuns de infecção do GuLoader incluem downloads drive-by e campanhas de phishing.
O GuLoader também é conhecido por seu processo de infecção em três estágios. No primeiro estágio, ele obtém acesso e consegue persistência por meio de chaves de registro modificadas. Durante o segundo estágio, o malware inspeciona seu ambiente em busca de sinais de ferramentas de análise antes de injetar o shellcode na memória. Essa injeção é realizada por meio de um processo oco, e o shellcode é criptografado e polimórfico, o que dificulta a detecção e a correção. O estágio final usa o shellcode injetado para baixar e executar o executável malicioso final. O GuLoader também pode baixar e implantar uma ampla gama de outras variantes de malware, aumentando consideravelmente a ameaça potencial que ele representa para uma organização.
O GuLoader evita a detecção por meio de uma variedade de mecanismos diferentes, incluindo o uso de criptografia, empacotamento e código polimórfico. Além disso, o GuLoader baixa seu código malicioso de sites legítimos. Na verdade, a versão moderna do GuLoader pode baixar cargas criptografadas do Google Drive e de outros sistemas de armazenamento em nuvem. Essa criptografia permite que o malware passe despercebido pelos scanners dos provedores de nuvem e aumenta a vida útil efetiva do malware.
Os usos do GuLoader
Um dos principais pontos de venda do GuLoader para os criminosos cibernéticos é que ele é altamente personalizável. O operador do malware pode configurar a aparência e o comportamento do malware, aproveitando seu design modular e baixando cargas úteis hospedadas na nuvem.
O potencial do aplicativo GuLoader é quase ilimitado, pois ele pode ser configurado para baixar e implementar outras variantes de malware. Na verdade, o GuLoader é atualmente conhecido por distribuir uma ampla variedade de malware, incluindo:
- Formbook
- XLoader
- Remcos
- 404Keylogger
- Lokibot
- AgentTesla
- NanoCore
- NetWire
Como proteger
O GuLoader é um cavalo de troia adaptável e altamente eficaz que continua em desenvolvimento ativo após mais de três anos de operação. No entanto, as organizações podem tomar medidas para proteger a si mesmas e a seus funcionários contra essa ameaça de malware. Várias práticas recomendadas de proteção contra o GuLoader e ameaças de malware semelhantes incluem:
- Educação dos funcionários: Como um malware trojan, o GuLoader se baseia em truques e camuflagem, fingindo ser um arquivo legítimo. Treinar os usuários para identificar e evitar golpes de phishing e downloads drive-by pode ajudar a reduzir o risco de infecção.
- Segurança da endpoint: O GuLoader usa várias técnicas de evasão, mas também se envolve em vários comportamentos suspeitos e mal-intencionados em um sistema infectado. As soluções de segurança de endpoint devem ser capazes de detectar e bloquear uma infecção por malware antes que ela cause danos significativos à organização.
- Segurança para e-mail: Os e-mails de phishing são o principal mecanismo de infecção do GuLoader. Os scanners de e-mail podem ser capazes de identificar e bloquear os e-mails que contêm o malware GuLoader antes que eles cheguem às caixas de entrada dos usuários.
- Segurança na Web: O GuLoader também é comumente distribuído por meio de downloads drive-by. As soluções de segurança na Web podem identificar sinais de um site mal-intencionado e bloquear downloads suspeitos, impedindo que o malware trojan chegue aos sistemas de um usuário final.
Detecção e proteção de malware do GuLoader com a Check Point
O GuLoader é um cavalo de Troia que está em operação ativa desde 2019 e passou por várias atualizações para adicionar novos recursos. Como resultado, é uma variante de malware altamente eficaz que pode ser difícil de detectar e remover em um sistema infectado.
No entanto, o GuLoader também é apenas uma das várias ameaças de malware que as empresas enfrentam. Além disso, o cenário de ameaças cibernéticas vai muito além da ameaça do malware, e as empresas enfrentam vários desafios de segurança cibernética. Uma estratégia eficaz de segurança cibernética se baseia em um entendimento completo dos possíveis riscos e ameaças cibernéticas que uma organização enfrenta. E não deixe de conferir o Relatório de Cibersegurança 2023 da Check Point para saber mais sobre o cenário atual de ameaças cibernéticas.
Check Point has performed in-depth research on GuLoader, and insights from this research are incorporated into Check Point security products. Check Point Endpoint Security offers solid protection against GuLoader, the malware variants that it delivers, and the other malware and endpoint security threats that organizations face. For more information about Check Point Endpoint Security and its role in your organization’s malware and endpoint security strategy, try a demo today.
Iniciar
Fornecimento de malware baseado em nuvem: A evolução do GuLoader
