Perdido na relocação: análise de novo loader distribuindo CASTLESTEALER

Um loader Windows não documentado, chamado OXLOADER, está entregando o infostealer CASTLESTEALER por meio de anúncios maliciosos do Google. O loader utiliza múltiplas camadas de ofuscação e abusa da seção .reloc para executar shellcode. A campanha, atribuída a um ator financeiro de língua russa, exclui regiões da CEI e verifica o idioma russo. A detecção é baixa em mecanismos estáticos e sandboxes. Recomenda-se utilizar prevenções avançadas como as do Elastic Defend para bloquear a cadeia de ataque.