Por qué importa: La infección dependió de ajustes regionales y de idioma en Brasil.
Lo esencial
- El correo provenía de una dirección en Brasil con IP 185.254.222.105.
- Se necesitaban idioma y región brasileñas para activar la infección.
- La descarga incluía un archivo ZIP con un enlace que creó un flujo de datos alternativo.
Circuito de infección del correo
El ataque inició con un correo en portugués brasileño que solo activaba el Malware desde IPs de Brasil.
Mecanismo de ejecución del Malware
Un archivo ZIP descargado creó un enlace que almacenó un DLL en un flujo de datos alternativo bajo AppData\Local\Temp.