Pesquisadores da Elastic Security Labs identificaram uma campanha ativa de distribuição de malware que usa anúncios falsos no Google para infectar computadores com Windows. A operação envolve um carregador de malware chamado OXLOADER, que nunca havia sido documentado publicamente antes da descoberta. O ataque começa quando a vítima pesquisa por uma versão do Node.js, um programa amplamente usado por desenvolvedores, e clica em um resultado patrocinado que leva a um site falso. Um arquivo script é baixado de uma plataforma legítima de armazenamento em nuvem, exibe uma tela de instalação aparentemente normal e instala o OXLOADER sem que o usuário perceba. O carregador realiza uma série de verificações para garantir que não está sendo analisado em ambientes de segurança controlados, checando número de processadores, memória RAM e taxa de atualização da tela. Também identifica se o computador está localizado na Rússia ou configurado em russo e, se sim, interrompe a execução.

Researchers detail REF8372, a malvertising campaign using fake Node.js ads, Storj-hosted payloads, and OXLOADER to deploy CastleStealer.

Elastic Security Labs uncovers OXLOADER: a new Windows loader using .reloc section abuse and anti-VM checks to drop infostealer malware via Google Ads.

Researchers detail REF8372, a malvertising campaign using fake Node.js ads, Storj-hosted payloads, and OXLOADER to deploy CastleStealer.

Pesquisadores da Elastic Security Labs identificaram uma campanha ativa de distribuição de malware que usa anúncios falsos no Google para enganar usuários e instalar um programa ladrão de informações em computadores Windows. A operação, batizada de REF8372, envolve um carregador de malware inédito chamado OXLOADER, cujo objetivo é instalar outro programa malicioso, o CastleStealer, responsável por roubar dados das vítimas. ## Anúncio patrocinado no Google levava a site falso Tudo começa quando alguém pesquisa por uma versão do Node.js, um programa muito utilizado por desenvolvedores. Entre os primeiros resultados aparece um anúncio patrocinado que leva a um site falso criado para imitar uma página legítima de download. Script malicioso exibe uma tela de instalação falsa enquanto baixa o OXLOADER em segundo plano. O processo pede permissão de administrador ao sistema antes de executar o malware. Imagem: Elastic Security Labs. O anúncio foi publicado por uma conta verificada no Google em nome de "ВОЛОДИМИР ТЕРЕЩЕНКО", supostamente baseada na Ucrânia. Não se sabe se essa conta pertencia ao próprio atacante ou se foi comprada ou criada como fachada. O Google removeu a conta e os anúncios associados em 14 de maio de 2026. ## Como o computador da vítima é infectado Ao clicar no anúncio falso, o usuário é redirecionado e recebe o download de um arquivo batch, um tipo de script de comandos do Windows, hospedado no Storj, uma plataforma legítima de armazenamento em nuvem. Usar serviços legítimos assim é uma tática comum para fugir de filtros de segurança que bloqueiam domínios suspeitos. Ao executar o arquivo, a vítima vê uma tela de instalação aparentemente normal, como se estivesse instalando um programa de verdade. Em segundo plano, o script baixa e executa o OXLOADER, que pede permissão de administrador ao sistema por meio de um aviso do Windows conhecido como UAC. Trecho do código do OXLOADER analisado pela Elastic Security Labs mostra como o malware se ativa antes mesmo de qualquer código do usuário ser executado, aproveitando o processo de inicialização do sistema. Imagem: Elastic Security Labs. ## O que o OXLOADER faz na máquina O OXLOADER é um carregador de malware, ou seja, ele não rouba dados diretamente. Sua função é preparar o ambiente e instalar o programa que vai fazer o trabalho sujo. Para isso, ele usa diversas camadas de ofuscação, técnicas que embaralham o código para dificultar a análise por ferramentas de segurança. Antes de agir, o OXLOADER faz uma série de verificações para garantir que não está sendo analisado em ambientes controlados usados por pesquisadores. Ele checa se a máquina tem ao menos três processadores, 3 GB de memória RAM e uma tela com taxa de atualização de pelo menos 20 Hz. Sandboxes, ambientes virtuais usados para analisar malwares com segurança, costumam ter configurações mais modestas e são filtrados por essas checagens. O OXLOADER também verifica a localização geográfica da vítima. Se o computador estiver em algum país da Comunidade de Estados Independentes, antiga URSS, ou tiver o sistema configurado em russo, o malware interrompe a execução. Isso é um indicador de que os operadores provavelmente falam russo e escolheram não atacar a própria região para evitar atenção de autoridades locais. Diagrama da Elastic Security Labs mostra o caminho completo da infecção. A vítima parte de uma busca no Google, baixa um arquivo script hospedado no Storj e, ao executá-lo, instala o OXLOADER, que por sua vez carrega o CastleStealer diretamente na memória. Imagem: Elastic Security Labs. ## O roubo de dados em si Depois de passar por todas essas etapas, o OXLOADER carrega na memória do computador o CastleStealer, um programa especializado em roubo de informações. Ele não precisa ser gravado no disco, o que dificulta ainda mais a detecção. O CastleStealer é um infostealer desenvolvido em .NET, uma plataforma de desenvolvimento da Microsoft. Informações roubadas podem incluir senhas salvas, dados de navegadores, carteiras de criptomoedas e outros arquivos sensíveis, conforme padrão desse tipo de ameaça. ## Por que esse ataque é especialmente perigoso A Elastic destaca que o OXLOADER ainda está em fase inicial de operação, mas o nível de sofisticação técnica chama atenção. O código é deliberadamente construído para parecer legítimo, imitar programas conhecidos e escapar da análise automática. Painel de segurança da Elastic registra múltiplos alertas disparados durante a execução do script malicioso, incluindo execução suspeita de PowerShell e alocação de memória remota, sinais típicos do comportamento do OXLOADER. Imagem: Elastic Security Labs. Na prática, isso resultou em taxas de detecção muito baixas em ferramentas de análise estática e em ambientes de teste. Isso significa que o malware conseguiu operar sem ser sinalizado pela maioria dos antivírus convencionais por um período relevante. A recomendação é evitar clicar em resultados patrocinados ao buscar por softwares populares. O download de programas deve ser feito sempre pelo site oficial do desenvolvedor, acessado diretamente pelo navegador, sem passar por links de anúncios. Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.

Daily Recap, LastPass confirmed its breach was tied to the Klue supply-chain compromise, while ShapedPlugin WordPress Pro plugins were backdoored in a separate supply-chain attack; London Hydro and Xsolis also disclosed large-scale data exposures. Across other headlines, the FortiBleed campaign used a custom FortiGate sniffer to steal firewall credentials, Squidbleed was shown to leak cleartext HTTP requests via Squid Proxy, and WhatsApp campaigns delivered ManageEngine RMM alongside OXLOADER and CastleStealer. #LastPass #Klue #ShapedPlugin #LondonHydro #Xsolis #FortiBleed #FortiGate #FortiGateSniffer #Russian #Squidbleed #SquidProxy #SamsungKNOX #Galaxy #WhatsApp #ManageEngineRMM #VBScript #OXLOADER #CastleStealer #JaredFromSubway #SearchYourTarget #DifyTap #Dify #AutoGenStudio #FFmpeg #PixelSmash #SAVE #postquantum #Windows1126H2 #DeepInstinct

Researchers uncovered REF8372, a campaign that uses malicious Google Ads and a fake Node.js site to distribute CastleStealer through the previously unreported loader OXLOADER. The operation appears financially motivated and likely Russian-speaking, while using obfuscation, anti-sandbox checks, and legitimate services like Storj to evade detection. #CastleStealer #OXLOADER #REF8372 #Storj #GoogleAds...

Elastic Security Labs identified OXLOADER, a previously undocumented Windows loader, delivering CASTLESTEALER through malicious Google Ads and Storj-hosted staging files. The campaign uses heavy obfuscation, anti-VM checks, and .reloc-based shellcode staging, while targeting users with Node.js-themed lures and low-detection payloads. #OXLOADER #CASTLESTEALER #GoogleAds #Storj

Cybersecurity researchers have uncovered a sophisticated malware campaign in which the OXLOADER malware loader uses malicious Google Ads to distribute the CastleStealer infostealer. A relia...

A new malvertising campaign (REF8372) is using malicious Google Ads and a sophisticated loader called OXLOADER to deliver the CastleStealer infostealer.

20 curated cybersecurity & geopolitical intel stories. Nation-state ops, threat intel, policy & vulnerabilities.

Cybersecurity researchers have disclosed details of a new campaign that delivers CastleStealer by means of a previously unreported malware loader dubbed OXLOADER. According to Elastic Security Labs, the campaign leverages malicious Google Ads as a starting point to distribute the malware. Evidence indicates that the threat actor is likely Russian-speaking and financially motivated, owing to the

Introduction A previously undocumented Windows malware loader tracked as OXLOADER has been discovered delivering the CASTLESTEALER infostealer through malicious Google Ads campaigns, achieving remarkably low detection rates across static antivirus engines and automated sandbox environments. This sophisticated attack chain combines multiple obfuscation layers—including control-flow flattening, opaque predicates, and mixed Boolean-Arithmetic (MBA) obfuscation—with abuse of the Windows .reloc section to stage shellcode, enabling the loader to fly under the radar of traditional security tools.

Simple Steps To Eliminate Malicious Application CastleStealer is a dangerous type of malware that is designed to steal personal and financial information from Windows computers. It does not infect a computer by itself. Instead, it is delivered by another program called OXLOADER, which acts as the first stage of the attack. OXLOADER prepares the computer In order to remove CastleStealer Malware, you should run a complete system scan with a reputable antivirus program and remove any detected threats.

Researchers detail REF8372, a malvertising campaign using fake Node.js ads, Storj-hosted payloads, and OXLOADER to deploy CastleStealer.

Curate Feeds | Make Collections | Customize Email Briefs

Cybersecurity researchers have disclosed details of a new campaign that delivers CastleStealer by means of a previously unreported malware loader dubbed OXLOADER. According to Elastic Security Labs, the campaign leverages malicious Google Ads as a starting point to distribute the malware. Evidence indicates that the threat actor is likely Russian-speaking and financially motivated, owing to the

Elastic Security Labs uncovers OXLOADER, a previously undocumented Windows loader distributed via malicious Google Ads impersonating Node.js downloads to deliver CastleStealer with near-zero detection rates thanks to multi-layered obfuscation.