# Gootloader > Tipo: **loader** · S1138 · [MITRE ATT&CK](https://attack.mitre.org/software/S1138) > [!abstract] Visão Geral > Loader JavaScript sofisticado operado por UNC2565 desde 2020, usando SEO poisoning em sites WordPress comprometidos para enganar vitimas que buscam documentos legais e contratos. Entrega Cobalt Strike, REvil ransomware e Gootkit como payloads finais. Evolução continua com tres versoes documentadas e mecanismo de anti-análise via verificação de idioma do sistema. ## Descrição [[s1138-gootloader|Gootloader]] e um framework de infecção baseado em JavaScript desenvolvido e operado pelo grupo [[unc2565|UNC2565]], ativo desde pelo menos 2020 como evolução do loader do banking trojan Gootkit. O nome "Gootloader" foi cunhado pela Sophos em 2021 para descrever esta camada de acesso inicial que opera de forma independente dos payloads que entrega. O modelo de negocio do [[s1138-gootloader|Gootloader]] e "Initial Access as a Service": o grupo mantem a infraestrutura de SEO poisoning e distribuição, entregando acesso a diferentes grupos de ameaça que pagam pelo servico. O vetor de distribuição e engenhoso: o [[s1138-gootloader|Gootloader]] compromete sites WordPress legitimos ([[t1584-006-web-services|T1584.006]]), injetando conteudo manipulado que ranqueia altamente em buscadores para termos específicos - tipicamente buscas por contratos, acordos de confidencialidade, modelos legais e documentos regulatorios. Quando a vitima clica no resultado e faz download do suposto documento ZIP, recebe um arquivo JavaScript ofuscado que e o loader. Esta técnica de SEO poisoning e altamente eficaz pois mira usuarios ativamente buscando documentos juridicos e financeiros ([[t1204-001-malicious-link|T1204.001]]). Após execução, o [[s1138-gootloader|Gootloader]] verifica o idioma do sistema ([[t1614-001-system-language-discovery|T1614.001]]) para excluir paises de interesse (tipicamente Russia e paises vizinhos). Também realiza verificacoes de tempo ([[t1497-003-time-based-checks|T1497.003]]) para evadir análise em sandbox. O payload e desobfuscado em memoria ([[t1140-deobfuscatedecode-files-or-information|T1140]]) e injetado via process hollowing ([[t1055-012-process-hollowing|T1055.012]]) ou PE injection ([[t1055-002-portable-executable-injection|T1055.002]]). A persistência e mantida via chaves de registro ([[t1547-001-registry-run-keys-startup-folder|T1547.001]]) e scripts PowerShell ([[t1059-001-powershell|T1059.001]]). **Plataformas:** Windows ## Como Funciona A vitima busca um documento legal no Google, clica em um resultado comprometido por SEO poisoning, e baixa um arquivo ZIP com um JavaScript mascarado como documento. Ao abrir o JS, o Gootloader executa, verifica idioma e ambiente, desobfusca o payload em memoria e injeta em processos do sistema, estabelecendo persistência e conectando ao C2 para receber a carga final (Cobalt Strike, REvil, Gootkit). ## Attack Flow ```mermaid graph TB A["🔍 SEO Poisoning<br/>WordPress comprometido<br/>Alto ranking para termos legais"] --> B["👤 Engenharia Social<br/>Vitima busca contrato/acordo<br/>Clica em resultado malicioso"] B --> C["📦 Download ZIP<br/>Arquivo JS ofuscado<br/>Disfarce de documento legal"] C --> D["🔎 Verificação de Ambiente<br/>Idioma do sistema<br/>Time-based anti-sandbox"] D --> E["💉 Execução em Memoria<br/>Desofuscação do payload<br/>PE/Process Hollow Injection"] E --> F["🔒 Persistência<br/>Registry Run Keys<br/>PowerShell scheduled task"] F --> G["🎯 Payload Final<br/>Cobalt Strike / REvil<br/>Gootkit banking trojan"] classDef social fill:#e67e22,stroke:#d35400,color:#fff classDef check fill:#7f8c8d,stroke:#626567,color:#fff classDef exec fill:#8e44ad,stroke:#6c3483,color:#fff classDef impact fill:#c0392b,stroke:#922b21,color:#fff class A,B social class C,D check class E,F exec class G impact ``` **Payloads entregues:** Cobalt Strike (pos-exploração), REvil ransomware, Gootkit banking trojan ## Timeline ```mermaid timeline title Gootloader - Evolução 2020 : Primeira versao documentada (v1.0) : SEO poisoning em WordPress comprometidos : UNC2565 identificado como operador 2021 : Sophos cunha o nome Gootloader : Versao 2.0 com maior ofuscacao : Expansao de payloads - REvil, Cobalt Strike 2022 : Campanha contra setor juridico/financeiro EUA : Gootloader v3.0 com PowerShell persistência 2023 : Infraestrutura resistente a takedowns : Alvos em setores farmaceutico e energia 2024 : Continua ativo com rotacao de dominios : Adotado por grupos de ransomware como IAB ``` ## Técnicas Utilizadas - [[t1204-001-malicious-link|T1204.001 - Malicious Link]] - link SEO-poisoned para download - [[t1584-006-web-services|T1584.006 - Web Services]] - sites WordPress comprometidos - [[t1584-001-domains|T1584.001 - Domains]] - dominios C2 registrados - [[t1059-007-javascript|T1059.007 - JavaScript]] - payload loader em JS - [[t1614-001-system-language-discovery|T1614.001 - System Language Discovery]] - anti-análise por idioma - [[t1497-003-time-based-checks|T1497.003 - Time Based Checks]] - anti-sandbox por tempo - [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]] - desofuscação em memoria - [[t1055-012-process-hollowing|T1055.012 - Process Hollowing]] - injecao de payload - [[t1055-002-portable-executable-injection|T1055.002 - Portable Executable Injection]] - PE injection - [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - persistência - [[t1059-001-powershell|T1059.001 - PowerShell]] - execução e persistência - [[t1082-system-information-discovery|T1082 - System Information Discovery]] - perfil do sistema - [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]] - rede do alvo - [[t1069-002-domain-groups|T1069.002 - Domain Groups]] - enumeracao de AD - [[t1614-system-location-discovery|T1614 - System Location Discovery]] - localização do alvo ## Relevância LATAM/Brasil O [[s1138-gootloader|Gootloader]] representa um risco específico para o setor juridico e financeiro brasileiro, onde profissionais frequentemente buscam modelos de contratos e documentos regulatorios em buscadores. Escritorios de advocacia, departamentos juridicos corporativos, contadores e funcionarios de compliance sao o perfil demografico exato visado pelo SEO poisoning. O setor juridico brasileiro - que busca regularmente modelos de contratos de acordo com LGPD, contratos de prestacao de servico e acordos de confidencialidade - e particularmente vulnerável a esta técnica. O fato de que o [[s1138-gootloader|Gootloader]] serve como Initial Access Broker para grupos de ransomware como [[s0496-revil|REvil]] torna infeccoes de Gootloader precursoras potenciais de ataques de ransomware devastadores. Organizacoes com acesso a dados sensiveis de clientes (financeiro, juridico, saúde) devem treinar funcionarios específicamente sobre riscos de download de documentos de fontes nao verificadas. ## Detecção - Monitorar execução de arquivos JavaScript (`.js`) pelo Windows Script Host (`wscript.exe`, `cscript.exe`) fora de ambientes de desenvolvimento - Detectar `wscript.exe` ou `cscript.exe` iniciando conexoes de rede para IPs externos - Alertar para criação de chaves de registro de persistência por processos de scripting - Monitorar powershell com encoding base64 iniciado por processos de scripting - Implementar AppLocker ou WDAC para bloquear execução de `.js` nao assinados por usuarios comuns - Bloquear execução de arquivos com dupla extensao (documento.pdf.js, contrato.docx.js) ## Referências - [1](https://attack.mitre.org/software/S1138) MITRE ATT&CK - S1138 Gootloader (2024) - [2](https://news.sophos.com/en-us/2021/03/01/gootloader-expands-its-payload-delivery-options/) Sophos - Gootloader Expands Payload Delivery Options (2021) - [3](https://www.mandiant.com/resources/blog/tracking-gootloader-infection-chain) Mandiant - Tracking the Gootloader Infection Chain (2022) - [4](https://unit42.paloaltonetworks.com/gootloader-for-initial-access/) Unit 42 - Gootloader for Initial Access (2023)