Trojan de acesso remoto (RAT).

Um trojan de acesso remoto (RAT) instala uma backdoor furtiva que permite ao operador ver o ecrã, executar comandos, manipular ficheiros, registar teclas, capturar áudio ou vídeo e pivotar para outros sistemas. Ao contrário do software padrão de administração remota, um RAT é instalado sem consentimento e tenta evadir deteção.

Distribuição e controlo. Os RATs são normalmente distribuídos através de anexos de phishing, software pirateado, anúncios maliciosos, drive-by downloads ou como payload subsequente após uma comprometimento inicial. Uma vez em execução, o implante estabelece um canal de comando e controlo (C2) — muitas vezes sobre HTTPS, DNS ou um protocolo próprio — e emite balizas para o operador, que envia comandos interativos. Como a ligação é iniciada a partir do interior da rede, atravessa o NAT e muitas firewalls permissivas ao tráfego de saída.

Famílias conhecidas. O Gh0st RAT, cujo código-fonte foi divulgado e continua em circulação, alimentou a operação de espionagem GhostNet revelada em 2009, que comprometeu alvos políticos e diplomáticos em 103 países. O Poison Ivy (visto pela primeira vez em 2005) foi utilizado na violação de 2011 dos dados de semente do SecurID da RSA e na subsequente campanha Nitro contra empresas do setor químico e da defesa. RATs de consumo em massa como njRAT, DarkComet, AsyncRAT e PlugX são amplamente comercializados e reaproveitados tanto por atores criminosos como por grupos ligados a Estados.

As defesas incluem deteção e resposta em endpoints (EDR), allow-listing de aplicações, filtragem de saída com inspeção de DNS e TLS, bloqueio de infraestrutura C2 conhecida, monitorização de sessões de saída anómalas e de longa duração, e contas de utilizador com privilégios mínimos.

flowchart LR
  A[Phishing / software<br/>pirateado / drive-by] --> B[Implante RAT em execução]
  B --> C[Baliza para o C2<br/>sobre HTTPS / DNS]
  C --> D[Operador envia comandos]
  D --> E[Registo de teclas, captura de<br/>ecrã, roubo de ficheiros, webcam]
  D --> F[Movimento lateral /<br/>largar mais malware]
  E --> C