Descoberta e escopo da campanha
Uma campanha construída em torno do Banana RAT, um trojan de acesso remoto há muito associado a fraudes bancárias brasileiras, foi pega usando um servidor backend exposto que cria novas variantes de malware sob demanda. Esse servidor não apenas hospedava arquivos maliciosos, mas executava ferramentas ativas capazes de gerar payloads frescos e disfarçados de forma diferente sempre que um atacante precisava. A descoberta começou com um índice público encontrado em um único endereço IP, exposto e pesquisável através de varreduras de internet rotineiras.
Em vez de uma amostra estática de malware, os pesquisadores encontraram uma plataforma de entrega funcional, completa com um gerador de payload e um script de ofuscação ao lado dos próprios arquivos maliciosos. Analistas da Any.Run identificaram que essa combinação permitiu que uma única infraestrutura produzisse silenciosamente duas versões diferentes do Banana RAT em poucas semanas. A análise comparativa das duas versões, detonadas em maio e junho de 2026, revelou como um operador de trojan bancário refina técnicas de evasão em tempo quase real.
Como as duas variantes do Banana RAT diferem
A versão anterior, detonada no final de maio, confiava em nomes de arquivos e caminhos de pasta fixos projetados para parecer componentes legítimos de atualização do Windows. Ela usava um domínio semelhante com um erro de ortografia, um detalhe que facilitava a detecção uma vez que os defensores notavam a discrepância. A persistência dependia de uma tarefa agendada vinculada a um executável nomeado, dando aos analistas uma impressão digital estável para rastrear.
A versão mais recente, vista no início de junho, abandonou completamente essa estrutura previsível. As pastas de instalação e os nomes de arquivos são agora gerados aleatoriamente para cada máquina infectada, e a persistência muda para um iniciador VBS combinado com uma tarefa agendada oculta executada com privilégios de nível de sistema. A comunicação com os servidores dos atacantes ocorre através de um canal WebSocket criptografado, usando um endereço construído a partir de um identificador hash único para cada computador infectado, tornando o bloqueio simples de domínio muito menos eficaz.
Impacto e alcance no Brasil
O impacto vai além de uma única cadeia de infecção. Como o mesmo servidor de staging alimentava ambas as versões do malware, os defensores agora têm uma visão mais completa de como essa operação evolui, em vez de apenas uma instantânea de uma amostra. Isso é crucial para qualquer um construindo regras de detecção ou tentando bloquear essa atividade antes que ela alcance a sessão bancária de uma vítima. O Banana RAT visa a atividade financeira diretamente, focando em roubar credenciais bancárias e interferir em transações de pagamento.
Sua capacidade de se regenerar em novas formas torna as defesas baseadas em listas de bloqueio muito menos confiáveis ao longo do tempo. A presença de um gerador de payload exposto sugere uma operação madura e automatizada, capaz de escalar rapidamente para atingir mais vítimas. A análise dos indicadores de comprometimento (IoCs) fornecidos pelos pesquisadores permite que as equipes de segurança bloqueiem o tráfego associado e monitorem tarefas agendadas criadas sob nomes suspeitos.
Medidas de mitigação recomendadas
As equipes de segurança são encorajadas a bloquear o tráfego ligado aos indicadores conhecidos, monitorar tarefas agendadas criadas sob nomes suspeitos e tratar atividade PowerShell oculta inesperada como um sinal de alerta digno de investigação. O rastreamento de ambas as variantes através da mesma infraestrutura exposta deu aos defensores uma visão mais clara de como essa família de malware continua se adaptando. A implementação de soluções de detecção comportamental, em vez de apenas baseadas em assinatura, é essencial para combater malware polimórfico.
Além disso, a monitoração de conexões de saída não autorizadas e a verificação de integridade de arquivos em sistemas críticos podem ajudar a identificar atividades maliciosas antes que o roubo de credenciais ocorra. A educação dos usuários sobre phishing e a prevenção de instalação de software não autorizado são medidas complementares importantes para reduzir a superfície de ataque.