# DotRunpeX
> Tipo: **injector** · [MITRE ATT&CK](https://attack.mitre.org/software/)
## Descrição
[[dotrunpex|DotRunpeX]] é um injetor de malware escrito em .NET, identificado pela Check Point Research em 2022, amplamente utilizado como distribuidor de múltiplas famílias de malware. O [[dotrunpex|DotRunpeX]] funciona como intermediário na cadeia de ataque: recebe um payload criptografado, o desofusca na memória e o injeta em processos legítimos do Windows via process hollowing, tornando a detecção do malware final muito mais difícil pois o código malicioso executa sob a cobertura de processos confiáveis do sistema.
O [[dotrunpex|DotRunpeX]] implementa múltiplas camadas de proteção: empacotamento pesado com custom packer, verificações anti-sandbox e anti-debug baseadas em características do sistema, e desabilitação de ferramentas de segurança antes da injeção do payload. O malware utiliza a técnica de process hollowing ([[t1055-012-process-hollowing|T1055.012]]) para injetar payloads em processos legítimos como `aspnet_compiler.exe`, `notepad.exe` ou outros, fazendo com que o payload malicioso execute com a identidade e confiança do processo legítimo.
O [[dotrunpex|DotRunpeX]] foi utilizado para distribuir um amplo espectro de malware final: [[redline|RedLine Stealer]], [[s1087-asyncrat|AsyncRAT]], [[xworm|XWorm]], [[s0331-agent-tesla|Agent Tesla]], [[s0514-formbook|Formbook]], [[s0447-lokibot|LokiBot]] e outros infostealers e RATs populares. Sua versatilidade como plataforma de entrega e as fortes capacidades de evasão tornam o DotRunpeX um componente valioso no ecossistema de malware-as-a-service, sendo anunciado em fóruns clandestinos como loader confiável para múltiplos payloads.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1055-012-process-hollowing|T1055.012 - Process Hollowing]]
- [[t1027-002-software-packing|T1027.002 - Software Packing]]
- [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]]
- [[t1497-001-system-checks|T1497.001 - System Checks]]
- [[t1562-001-disable-or-modify-tools|T1562.001 - Disable or Modify Tools]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1059-001-powershell|T1059.001 - PowerShell]]
## Detecção
- Detectar process hollowing - criação de processo filho em estado suspenso com substituição de código ([[t1055-012-process-hollowing|T1055.012]])
- Monitorar tentativas de desabilitar Windows Defender e outros AVs por processos não privilegiados ([[t1562-001-disable-or-modify-tools|T1562.001]])
- Identificar comportamentos anti-sandbox - consultas a número de processadores, RAM, histórico de uso ([[t1497-001-system-checks|T1497.001]])
- Alertar sobre processos legítimos (notepad.exe, aspnet_compiler.exe) fazendo conexões de rede suspeitas
- Usar regras YARA para detectar strings e estruturas características do DotRunpeX .NET
## Relevância LATAM/Brasil
O [[dotrunpex|DotRunpeX]] como distribuidor de [[redline|RedLine]], [[s0331-agent-tesla|Agent Tesla]] e [[s1087-asyncrat|AsyncRAT]] tem impacto direto no Brasil: essas três famílias estão entre as mais detectadas em campanhas contra empresas e usuários brasileiros. O modelo de loader-as-a-service facilita o acesso de grupos de cibercrime brasileiro a infostealers e RATs sofisticados sem necessidade de desenvolvimento próprio. A distribuição via phishing em português com o DotRunpeX como intermediário é um vetor crescente de comprometimento no Brasil, especialmente contra setores industriais e financeiros.
## Referências
- [Check Point Research - DotRunpeX](https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/)
- [MITRE ATT&CK - T1055.012](https://attack.mitre.org/techniques/T1055/012/)