Geofencing brasiliano nasconde Guildma ai sandbox esterni
Guildma (Astaroth) è stato consegnato il 31 agosto tramite una mail in portoghese brasiliano che scarica il malware solo da IP e impostazioni riconducibili al Brasile. Fuori da quel contesto, il link mostra un installer legittimo e la campagna resta in gran parte invisibile a chi la osserva da fuori.
Il file iniziale è uno ZIP con un collegamento Windows. Quel collegamento recupera contenuto da un server, lo scrive in un alternate data stream sotto %LocalAppData%\Temp e da lì avvia la catena che porta al loader AutoIt. Il risultato è un staging che sembra poco più di un artefatto di sistema, mentre il payload vero resta nascosto dove molte verifiche di base non guardano.
Per i team che validano sample in sandbox, il punto è il filtro geografico e di locale: una detonazione generica può non mostrare nulla di utile e far sottostimare l’infrastruttura ancora attiva. Per le organizzazioni brasiliane il rischio resta concreto, perché la campagna è costruita proprio per riconoscere e colpire quel contesto.