# PrivateLoader > Tipo: **loader / PPI service** - Ativo desde maio de 2021 - [Intel 471 Analysis](https://intel471.com/blog/privateloader-malware) > [!warning] Pay-Per-Install com 1M+ Infeccoes - Presente no Brasil > O PrivateLoader e um servico Pay-Per-Install (PPI) que distribuiu mais de 1 milhao de infeccoes em 2023. Opera via sites de software craqueado com envenenamento de SEO. Brasil e India figuram consistentemente entre os paises mais afetados. Carrega RedLine, Vidar, Raccoon, SmokeLoader e outros stealers/ransomware como payloads. ## Visão Geral [[privateloader|PrivateLoader]] e um loader modular escrito em C++ disponibilizado como servico Pay-Per-Install (PPI) e operado pelos atores conhecidos como **ruzki** e **doZKey** em foros underground russos. Ativo desde maio de 2021, o servico acumulou mais de **1 milhao de infeccoes confirmadas** em 2023 e funciona como infraestrutura de distribuição para dezenas de familias de malware - tornando-o um dos mecanismos de entrega mais prolicos do ecossistema do cibercrime. O vetor de distribuição principal e **envenenamento de SEO**: o PrivateLoader e distribuido via sites que aparecem nos primeiros resultados de busca para termos como "Adobe Photoshop crackeado", "Microsoft Office gratis" e "AutoCAD serial key". Os usuarios que baixam e executam o instalador falso recebem o PrivateLoader junto com o software prometido (ou apenas o loader), iniciando a cadeia de infecção. O modelo PPI do PrivateLoader funciona como mercado: clientes pagam por infeccoes em regioes geograficas e setores específicos. Diferentes payloads sao implantados dependendo do cliente contratante - [[s1240-redline-stealer|RedLine]], [[vidar-stealer|Vidar]], [[s1148-raccoon-stealer|Raccoon Stealer]], [[s0226-smokeloader|SmokeLoader]], XMRig e outros stealers e loaders. O Brasil figura consistentemente como pais de alto volume de infeccoes ao lado de India, Indonesia e Ucrania. **Plataformas:** Windows ## Como Funciona O PrivateLoader opera em tres módulos com funcionalidades distintas: 1. **Módulo Core (loader primario):** Executa verificacoes anti-análise, detecta sandbox via CPUID e tempo de execução ([[t1027-obfuscated-files-or-information|T1027]]), contata C2 para receber lista de payloads a instalar 2. **Módulo C2:** Comúnicação criptografada com servidores de controle para receber configuracoes, reportar status de infeccoes (base para pagamento PPI) e receber atualizacoes 3. **Módulo de Persistência:** Adiciona entrada no registro ([[t1547-001-registry-run-keys-startup-folder|T1547.001]]), cria tarefa agendada ([[t1053-005-scheduled-task|T1053.005]]) ou instala extensao de browser maliciosa ([[t1176-browser-extensions|T1176]]) O processo de infecção tipico: - Usuario busca software pirata via Google ou Bing - Site envenenado com SEO aparece no topo dos resultados - Download de instalador .exe ou .zip com loader - Execução via clique do usuario ([[t1204-002-malicious-file|T1204.002]]) - PrivateLoader instala payloads configurados pelo cliente PPI - Infecção reportada ao servidor - pagamento ao operador do site ```mermaid graph TB A["Busca por software pirata<br/>SEO poisoning T1608.001<br/>Adobe / Office / AutoCAD"] --> B["Download instalador falso<br/>Execução usuario T1204.002<br/>Link malicioso T1566.002"] B --> C["PrivateLoader core<br/>Anti-análise / sandbox evasion<br/>T1027 - ofuscação"] C --> D["Comúnicação C2<br/>Lista de payloads a instalar<br/>Configuração por cliente PPI"] D --> E["Persistência<br/>Registry Run T1547.001<br/>Scheduled Task T1053.005"] E --> F["Instalacao de payloads<br/>RedLine / Vidar / Raccoon<br/>SmokeLoader / XMRig"] F --> G["Infecção reportada<br/>Pagamento PPI ao operador<br/>Dados roubados ao cliente"] classDef vector fill:#e74c3c,color:#fff classDef execute fill:#e67e22,color:#fff classDef core fill:#8e44ad,color:#fff classDef c2 fill:#2980b9,color:#fff classDef persist fill:#27ae60,color:#fff classDef payload fill:#2c3e50,color:#fff classDef report fill:#1a252f,color:#fff class A vector class B execute class C core class D c2 class E persist class F payload class G report ``` ## Timeline ```mermaid timeline title PrivateLoader - Evolução Mai 2021 : PrivateLoader identificado pela primeira vez : Operadores ruzki/doZKey em foros russos 2022 : Expansao do servico PPI : Integracao com multiplas familias de malware 2023 : Pico de atividade - 1M+ infeccoes : Brasil e India em top de paises afetados : Distribuindo RedLine, Vidar, SmokeLoader 2024 : Servico continua ativo com novas variantes : Expansao para distribuição de ransomware loaders 2025 : PrivateLoader ativo - integracao com novos stealers ``` ## Técnicas Utilizadas | Tática | ID | Técnica | |--------|-----|---------| | Resource Development | [[t1608-001-upload-malware\|T1608.001]] | Upload de Malware - sites SEO poisoning | | Initial Access | [[t1566-002-spearphishing-link\|T1566.002]] | Links maliciosos em resultados de busca | | Execution | [[t1204-002-malicious-file\|T1204.002]] | Execução pelo usuario | | Persistence | [[t1053-005-scheduled-task\|T1053.005]] | Scheduled Task | | Persistence | [[t1547-001-registry-run-keys-startup-folder\|T1547.001]] | Registry Run Keys | | Persistence | [[t1176-browser-extensions\|T1176]] | Extensoes de Browser maliciosas | | Defense Evasion | [[t1027-obfuscated-files-or-information\|T1027]] | Ofuscação e evasão de sandbox | | Defense Evasion | [[t1055-process-injection\|T1055]] | Process Injection | ## Relevância LATAM/Brasil O [[privateloader|PrivateLoader]] representa ameaça direta para usuarios brasileiros por uma razao estrutural: o Brasil tem uma das maiores taxas de uso de software pirata do mundo. A cultura de buscar "crack" ou "serial" para softwares pagos e o vetor exato que o PrivateLoader explora via SEO poisoning. O risco e amplificado no contexto corporativo brasileiro: funcionarios que usam computadores da empresa para baixar software nao-autorizado podem introduzir o PrivateLoader em redes corporativas, iniciando uma cadeia de infecção que resulta em roubo de credenciais corporativas, acesso a sistemas financeiros ou eventual implantação de ransomware. As familias de malware distribuidas pelo PrivateLoader mais relevantes para o Brasil incluem: - [[s1240-redline-stealer|RedLine Stealer]] - roubo de credenciais bancarias e carteiras crypto - [[vidar-stealer|Vidar Stealer]] - exfiltração de cookies de sessao bancaria - [[s1148-raccoon-stealer|Raccoon Stealer]] - coleta massiva de credenciais - XMRig - minerador que consome recursos corporativos **Setores impactados:** [[financial|financeiro]] - [[technology|tecnologia]] - PMEs em geral ## Detecção - Bloquear downloads de sites de software pirata em proxies corporativos e DNS filtering - Detectar criação de tarefas agendadas incomuns por processos fora de C:\Windows - Monitorar acesso de processos desconhecidos a perfis de browser (Chrome `Login Data`, Firefox `logins.json`) - Identificar extensoes de browser nao-autorizadas instaladas fora das lojas oficiais ## Referências - [1](https://intel471.com/blog/privateloader-malware) Intel 471 - PrivateLoader Malware Analysis (2022) - [2](https://www.trendmicro.com/en_us/research/22/l/privateloader-the-loader-of-the-underground.html) Trend Micro - PrivateLoader Underground Service (2022) - [3](https://www.zscaler.com/blogs/security-research/peeking-privateloader) Zscaler - Peeking into PrivateLoader (2022) - [4](https://research.checkpoint.com/2023/privateloader-the-malware-behind-a-large-pay-per-install-network/) Check Point - PrivateLoader Pay-Per-Install Network (2023) - [5](https://www.recordedfuture.com/privateloader-malware-analysis) Recorded Future - PrivateLoader Malware Analysis (2022)