--- title: "Além do arquivo em lote: uma análise da cadeia de infecção em múltiplas etapas do DonutLoader" url: "https://www.aryaka.com/pt-br/blog/beyond-the-batch-file-multi-stage-donutloader-infection-chain/" markdown_url: "https://www.aryaka.com/pt-br/blog/beyond-the-batch-file-multi-stage-donutloader-infection-chain.md" llm_canonical: "https://www.aryaka.com/pt-br/blog/beyond-the-batch-file-multi-stage-donutloader-infection-chain.md" canonical_for_llm: true entity_type: "Article" primary_entity: "Além do arquivo em lote: uma análise da cadeia de infecção em múltiplas etapas do DonutLoader" citation_value: "Published on Aryaka; canonical URL https://www.aryaka.com/pt-br/blog/beyond-the-batch-file-multi-stage-donutloader-infection-chain/." last_updated: "2026-08-11T02:45:31-07:00" ---

Além do arquivo em lote: uma análise da cadeia de infecção em múltiplas etapas do DonutLoader

[Por Aditya K Sood e Bikash Dash](https://www.aryaka.com/author/adityaksood/) | 11 de agosto de 2026 ![Além do arquivo em lote](https://www.aryaka.com/wp-content/uploads/2026/08/Donutloader-Blog-Banner-1.webp) O Laboratório de Pesquisa de Ameaças da Aryaka analisou um script em lote do Windows altamente ofuscado que injeta o shellcode do Donut e instala um implante .NET residente na memória dentro de um processo legítimo do Windows.

Visão geral da campanha de ameaças

A infecção começa com um script em lote malicioso que utiliza substituição de variáveis, rótulos aleatórios, ofuscação do fluxo de controle e instruções irrelevantes para ocultar seu comportamento. Ele realiza verificações do ambiente para contornar sistemas de análise antes de criar um diretório de preparação oculto em C:\ProgramData\IntelDriver. O malware reconstrói cargas úteis incorporadas e utiliza uma cópia renomeada do powershell.exe, denominada HDVz.exe, para executar as etapas subsequentes. A persistência é estabelecida por meio de uma tarefa agendada que inicia silenciosamente o malware no momento do logon do usuário. O carregador do PowerShell recuperado injeta principalmente o shellcode Donut no explorer.exe, permitindo que o implante final do .NET seja executado na memória dentro de um processo confiável do Windows.

Principais conclusões

Veja a seguir as características da campanha DonutLoader - **Verificações anti-análise baseadas em nomes de usuário, artefatos do sistema de arquivos e memória disponível do sistema:** o malware verifica se há indícios de máquinas virtuais, sandboxes ou ambientes de análise, inspecionando nomes de usuário, arquivos específicos e a memória do sistema antes de ser executado. - **Shellcode do Donut e conteúdo criptografado do PowerShell disfarçados como extensões de arquivos de imagem:** a carga útil utiliza shellcode gerado pelo Donut e scripts criptografados do PowerShell ocultos por trás de extensões que simulam arquivos de imagem, a fim de evitar a detecção e ocultar o conteúdo malicioso. - **Um arquivo binário do PowerShell renomeado, utilizado como veículo de execução dissimulado:** em vez de executar o executável padrão do PowerShell, o malware o renomeia para que a execução maliciosa pareça menos suspeita e consiga contornar verificações de segurança simples. - **Persistência por meio de uma tarefa agendada com um executador VBS:** O malware cria uma tarefa agendada que executa um Visual Basic Script (VBS), garantindo que seja executada automaticamente após a reinicialização do sistema ou o logon do usuário. - **Injeção de shellcode no explorer.exe, com alvos alternativos:** O malware injeta shellcode malicioso no processo confiável explorer.exe para ocultar sua atividade, recorrendo a processos alternativos caso o alvo principal não esteja disponível. - **Manipulação do AMSI e do ETW para reduzir a visibilidade de segurança:** O malware desativa ou contorna o AMSI (Antimalware Scan Interface) e o ETW (Event Tracing for Windows) para reduzir a probabilidade de detecção por ferramentas de segurança. - **Componentes .NET ofuscados associados a atividades de comando e controle:** O malware utiliza código .NET altamente ofuscado para ocultar a funcionalidade que se comunica com servidores de comando e controle (C2). - **Notificação de execução via Telegram e comunicação de saída com infraestrutura remota:** Ao ser executado, o malware envia notificações de status pelo Telegram e se comunica com servidores remotos para receber comandos ou transmitir informações roubadas.

Resultado de pesquisa digno de destaque: Rastreamento personalizado de injeções

Uma descoberta notável foi o marcador de memória personalizado: DE AD BE CA FE BA EF. O malware insere esse marcador imediatamente antes do shellcode injetado e verifica se ele está presente nos processos candidatos antes da injeção. Isso permite que o carregador identifique processos injetados anteriormente, evite a implantação duplicada do shellcode e reduza o risco de instabilidade do processo. O marcador também fornece aos defensores um valioso indicador para a detecção de ameaças com base na memória.

Comunicação entre operadores e atividades de comando e controle

Durante a execução, o curl.exe envia uma solicitação HTTP POST para o endpoint /sendMessage da API do Telegram Bot, utilizando um token de bot e um ID de chat codificados de forma estática. Essa solicitação inclui uma notificação ao operador confirmando a execução bem-sucedida do malware e indicando que um canal do Telegram controlado pelo operador é utilizado para monitorar infecções ativas. Após a injeção no processo, o implante .NET tenta se conectar a 167.88.167.9:8356 por meio de TCP de saída, o que sugere um canal dedicado de comando e controle. Como a infraestrutura remota não estava disponível durante a análise, não foi possível avaliar as tarefas do operador nem todas as capacidades pós-infecção.

Considerações defensivas

Recomenda-se que as organizações monitorem binários do PowerShell renomeados, diretórios ocultos dentro de ProgramData, tarefas agendadas suspeitas, execução de scripts a partir de locais graváveis pelo usuário, atividades de injeção de processos, memória executável privada e alterações nas funções AMSI ou ETW. As atividades nos terminais também devem ser correlacionadas com solicitações anômalas à API do Telegram Bot e conexões de saída originadas de processos confiáveis, como o explorer.exe. A correlação comportamental oferece uma abordagem de detecção mais robusta do que basear-se exclusivamente em nomes de arquivos, hashes, endereços IP ou outros indicadores individuais.

Análise Técnica Completa

O relatório completo do Aryaka Threat Research Lab apresenta uma análise técnica detalhada da cadeia de infecção, incluindo: - Desofuscação de scripts em lote e recuperação do fluxo de controle - Comportamento anti-análise e de validação do ambiente - Reconstrução e descriptografia da carga útil incorporada - Análise do carregador do PowerShell - Persistência de tarefas agendadas - Recuperação do shellcode do Donut - Fluxo de trabalho de injeção no processo - Análise de marcadores de injeção - Adulteração do AMSI e do ETW - Análise do implante .NET recuperado - Notificações do Telegram e atividades de comando e controle - Indicadores de comprometimento - Mapeamento do MITRE ATT&CK - Orientações sobre defesa e detecção proativa de ameaças Baixe o relatório completo aqui: [Relatório do carregador em múltiplas etapas Donutloader](https://www.aryaka.com/reports-and-guides/donutloader-multi-stage-loader-report/)