# PrivateLoader - Campanha SEO Pirataria 2023 > [!high] Loader PPI Distribuído via SEO Poisoning em Sites de Software Pirata > PrivateLoader é um loader modular C++ distribuído principalmente via sites de software pirata com ranqueamento orgânico otimizado (SEO poisoning). Em 2023, a infraestrutura associada ao serviço ruzki/InstallsKey foi responsável pela distribuição de mais de 1 milhão de infecções, entregando payloads como RedLine Stealer, Vidar, SmokeLoader e RisePro em uma operação de Pay-Per-Install que monetiza o acesso a máquinas comprometidas. ## Visão Geral PrivateLoader é um loader desenvolvido em C++ com arquitetura modular, identificado pela primeira vez pela Intel471 e Sekoia em 2022 como o componente técnico do serviço de Pay-Per-Install (PPI) operado pelos pseudônimos `ruzki` e `InstallsKey` em fóruns de cibercrime russos. O modelo de negócio é direto: operadores pagam pelo número de infecções entregues em países específicos (tipicamente US$ 70-150 por 1.000 infecções em EUA/Europa), e o serviço garante a entrega dos payloads dos clientes via seu mecanismo de distribuição de alta escala. O vetor de distribuição primário em 2023 era SEO poisoning em sites de software pirata - páginas criadas ou comprometidas que apareciam nos primeiros resultados de buscas como "adobe premiere pro crack download", "microsoft office keygen", "windows activator free" e termos similares. Usuários que clicavam nesses resultados eram direcionados para páginas de download que entregavam o PrivateLoader disfarçado de instalador do software buscado. A escala da operação era expressiva: a Sekoia estimou mais de 1 milhão de hosts comprometidos em 2023, com predominância de vitimas nos EUA, Brasil, Índia e Europa. O PrivateLoader tem uma cadeia de infecção distintiva: o dropper inicial (disfarçado de instalador) executa e realiza injeção de processo em um binário legítimo do Windows para baixar o loader principal de um servidor C2. O loader então consulta uma lista de payloads configurada pelo operador e realiza downloads múltiplos em sequência - em uma única infecção, uma vítima pode receber RedLine Stealer, Vidar Stealer, SmokeLoader, um minerador de criptomoedas e um clipper de endereços de carteira, todos operados por diferentes clientes do serviço PPI. ## Como Funciona **Arquitetura do PrivateLoader:** - Dropper inicial: EXE empacotado com proteção anti-análise básica e ofuscação de strings - Loader principal: DLL injetada em processo legítimo (svchost.exe, explorer.exe) - Protocolo C2: HTTP/HTTPS para servidores de staging, rotação frequente de domínios - Lista de payloads: JSON ou formato proprietário com URLs de download e parâmetros de execução - Suporte a persistência: registro, scheduled task ou pasta de startup **Payloads comumente entregues em 2023:** - RedLine Stealer: credenciais de navegadores, carteiras de cripto, VPN - Vidar Stealer: similar ao RedLine com foco em carteiras de cripto - SmokeLoader: backdoor para persistência e download adicional - RisePro: stealer emergente com foco em gaming e cripto - Lumma Stealer: stealer de nova geração com evasão avançada - Mineradores XMR via XMRig **SEO Poisoning - técnica de distribuição:** - Criação ou comprometimento de sites com alta autoridade de domínio - Geração de conteúdo otimizado para termos de busca de software pirata - Páginas de "download" com imitação de interfaces de repositórios legítimos - Campanhas de Google Ads maliciosos (malvertising) como canal secundário ## Attack Flow ```mermaid graph TB A["🔍 Busca por Software Pirata<br/>Google: adobe crack, office keygen"] --> B["🎯 Resultado SEO Envenenado<br/>Site falso no topo dos resultados"] B --> C["⬇️ Download do Instalador<br/>Arquivo disfarçado de software"] C --> D["🖱️ Execução pelo Usuário<br/>Instala software aparentemente normal"] D --> E["💉 Process Injection<br/>PrivateLoader em svchost.exe"] E --> F["📋 Lista de Payloads<br/>Consulta C2 por payloads configurados"] F --> G["🔌 Multi-Payload Deploy<br/>RedLine + Vidar + SmokeLoader + Miner"] G --> H["💰 Monetização<br/>PPI por infecção entregue"] ``` *Serviço: ruzki/InstallsKey PPI · Payloads: [[s1240-redline-stealer]], [[vidar-stealer]], [[s0226-smokeloader]]* ## Timeline ```mermaid timeline title PrivateLoader - Linha do Tempo 2021 : Primeira identificação : PrivateLoader em fóruns russos : ruzki/InstallsKey como operadores 2022 : Análise pública : Intel471 e Sekoia publicam relatórios : Escala de operação documentada 2023 : Pico de atividade : 1+ milhão de infecções estimadas : SEO poisoning como vetor primário : Brasil entre top 5 de países afetados 2024 : Continuidade e adaptação : Novos payloads (Lumma, RisePro) : Rotação frequente de infraestrutura C2 ``` ## TTPs MITRE ATT&CK | Técnica | ID | Descrição | |---------|-----|-----------| | Stage Capabilities | [[t1608-stage-capabilities\|T1608]] | Sites SEO-envenenados como infraestrutura de staging | | Malicious File Execution | [[t1204-002-malicious-file\|T1204.002]] | Usuário executa instalador falso voluntariamente | | Obfuscated Files | [[t1027-obfuscated-files\|T1027]] | Dropper com ofuscação de strings e empacotamento | | Process Injection | [[t1055-process-injection\|T1055]] | Loader injetado em svchost.exe ou explorer.exe | | Exfiltration Over C2 | [[t1041-exfiltration-over-c2-channel\|T1041]] | Payloads exfiltram credenciais via canais C2 distintos | | Masquerading | [[t1036-masquerading\|T1036]] | Instalador falso imita software legítimo com ícone e nome | ## Relevância para o Brasil e LATAM > [!latam] Relevância para o Brasil > O **Brasil** figura consistentemente entre os **top 5 países afetados** pelo PrivateLoader, reflexo da alta taxa de uso de software pirata. Campanhas de **SEO poisoning em português** ("download grátis", "ativador windows", "serial office") foram documentadas com targeting intencional do mercado brasileiro. Funcionários corporativos que instalam software piratado introduzem o loader em redes empresariais, comprometendo credenciais de **sistemas bancários**, VPNs e ferramentas como **Microsoft 365** e **Google Workspace**. O PrivateLoader é um vetor de ameaça diretamente relevante para o Brasil: - **Brasil entre os top 5 afetados**: dados da Sekoia e Intel471 indicam o Brasil consistentemente entre os países com maior número de infecções pelo PrivateLoader - reflexo da alta taxa de uso de software pirata no país e do volume de buscas por "crackers" e ativadores de software - **Usuários corporativos como vítimas**: funcionários que instalam software piratado em computadores corporativos introduzem o PrivateLoader em redes empresariais - o loader pode então comprometer credenciais de acesso a sistemas corporativos, VPNs e bancos - **Cadeia de payloads afeta empresas brasileiras**: o RedLine Stealer e o Vidar entregues pelo PrivateLoader têm documentado impacto no Brasil via roubo de credenciais de sistemas bancários corporativos, plataformas B2B e ferramentas de colaboração como Microsoft 365 e Google Workspace - **SEO poisoning em português**: campanhas adaptadas para termos de busca em português ("download grátis", "ativador windows", "serial office") foram documentadas, indicando targeting intencional do mercado brasileiro ## Detecção e Defesa **Indicadores comportamentais:** - Instalador executado de `%Downloads%` que cria processo filho incomum (svchost.exe com parent atípico) - Conexões HTTP/HTTPS para múltiplos domínios em sequência rápida após execução de instalador - Criação de tarefas agendadas ou entradas de registro de persistência por instalador de software - Múltiplos payloads baixados e executados em sequência em curto intervalo **Mitigações recomendadas:** - Política organizacional de bloqueio de software não autorizado via AppLocker/WDAC - prevenção primária contra instaladores PPI - DNS filtering (Cisco Umbrella, Cloudflare Gateway) com blocklist de domínios C2 conhecidos do PrivateLoader - Monitorar execução de binários baixados da internet (Zone.Identifier presente) por usuários não-administradores - Conscientização corporativa: não instalar software pirata em dispositivos corporativos ou pessoais conectados à rede empresarial - [[m1049-antivirus-antimalware|EDR]] com telemetria de criação de processos e conexões de rede após instalações ## Referências - [1](https://blog.sekoia.io/privateloader-the-loader-of-the-future/) Sekoia - PrivateLoader: The Loader of the Future (2022) - [2](https://intel471.com/blog/privateloader-malware) Intel471 - PrivateLoader: The Malware Behind the Millions (2022) - [3](https://decoded.avast.io/martinhron/meduza-and-privateloader-the-secret-behind-the-millions/) Avast - Meduza and PrivateLoader: The Secret Behind the Millions (2023) - [4](https://www.zscaler.com/blogs/security-research/privateloader-ppi-service) Zscaler ThreatLabz - PrivateLoader PPI Service Analysis (2023) - [5](https://attack.mitre.org/software/S1003/) MITRE ATT&CK - PrivateLoader S1003 (2024) - [6](https://www.proofpoint.com/us/blog/threat-insight/privateloader-used-distribute-follow-on-payloads) Proofpoint - PrivateLoader Used to Distribute Payloads (2022)