RATs e o controle remoto invisível

Existe uma invasão que não quer apenas roubar um arquivo e desaparecer. Ela quer ficar. Quer assistir à tela, registrar o que você digita, abrir pastas, mover o mouse e esperar a hora certa de agir. Esse é o RAT, sigla de Remote Access Trojan, ou trojan de acesso remoto.

OBS: Links para tabela cronológica da minha pesquisa.

O CERT.br o descreve como a combinação de um cavalo de Troia com uma porta dos fundos. Primeiro vem o engano que coloca o programa dentro do aparelho. Depois fica aberto um canal para o criminoso voltar. A diferença mais incômoda está aí: muitas ações não são decididas pelo malware. Existe uma pessoa do outro lado observando o contexto e escolhendo o próximo passo.

Isso muda a natureza do ataque. Um código automático procura arquivos, senhas ou carteiras de criptomoedas seguindo regras. Um operador consegue esperar você abrir o banco, montar uma tela falsa naquele instante, esconder uma transação e mudar a abordagem se perceber que alguma coisa deu errado.

Nem todo acesso remoto é RAT

O nome costuma ser usado para situações diferentes. Separar as categorias evita alarmismo e ajuda a entender o risco real.

A pergunta mais útil é simples: eu pedi esse acesso, sei quem está conectado e consigo encerrar a sessão? Se a resposta for não, o nome técnico vira detalhe. Já existe um incidente.

O que muda quando há alguém operando

Um RAT pode reunir captura de tela, registro de teclas, câmera, microfone, localização, leitura de notificações, cópia de arquivos e execução de comandos. Nem toda família possui todas essas funções, mas o princípio é o mesmo. O aparelho deixa de responder apenas ao dono.

Em fraude bancária, o operador não precisa adivinhar o momento certo. Ele pode ver quando a pessoa entra no aplicativo, cobrir a tela com uma camada escura, mostrar uma janela falsa e operar por baixo. Em espionagem, pode buscar uma pasta específica, selecionar conversas e ativar sensores. Em uma empresa, pode usar a primeira máquina como entrada para alcançar contas e sistemas internos.

O perigo também não termina quando a janela de suporte fecha. Se o invasor instalou outro componente, criou uma inicialização automática ou roubou credenciais, desinstalar o programa visível não resolve tudo.

Como o golpe chega até o controle

Os casos brasileiros mudam de embalagem, mas repetem uma cadeia conhecida. A isca pode ser uma cobrança, um documento fiscal, uma falsa atualização, um benefício do governo, um arquivo enviado pelo WhatsApp ou uma ligação do suposto suporte do banco.

Depois vem a ação da vítima. No computador, aparecem ZIP, LNK, MSI, scripts ou páginas que mandam abrir o Executar e colar um comando. Esse truque é chamado de ClickFix. No Android, a isca tenta levar a um APK falso e pede acesso à Acessibilidade, leitura de notificações, sobreposição de tela ou instalação de outros aplicativos. No falso suporte, a própria pessoa instala uma ferramenta remota legítima e entrega o código da sessão.

Quando o programa consegue executar, ele tenta continuar disponível. Pode criar uma entrada de inicialização, instalar um serviço, esconder uma janela ou manter uma conexão periódica com o servidor de comando e controle. Só então o operador recebe a tela, os comandos e os dados necessários para agir.

Figura 1. A cadeia resume comportamentos recorrentes. Uma campanha pode pular etapas, trocar ferramentas ou combinar malware com software legítimo.

O que trinta anos de nomes revelam

O PDF que serve de base para esta pauta reuniu 300 famílias e ferramentas associadas a acesso remoto entre 1989 e 2018. A própria autora trata a lista como uma amostra curada, não como um censo de todos os RATs existentes. O ano de 2018 também estava incompleto.

Mesmo com esses limites, a distribuição é reveladora. Dos 300 itens, 217 aparecem a partir de 2010. São 72% da amostra. Isso não prova que 72% de todos os RATs nasceram naquele período. Mostra que a parcela mais densa do catálogo está concentrada nos anos em que construtores, painéis, código reaproveitado e venda de acesso tornaram esse tipo de ferramenta mais fácil de obter e operar.

Figura 2. Distribuição dos 300 itens da terceira versão do estudo. A amostra é curada, não exaustiva, e 2018 estava incompleto.

A história não é apenas de crescimento numérico. Os alvos e os dispositivos mudaram. O RAT saiu do computador doméstico e chegou ao celular, ao ambiente corporativo e à fraude financeira operada ao vivo. Também virou serviço. Quem compra um kit pronto não precisa dominar cada parte do código para espionar ou controlar uma vítima.

No Brasil, o controle remoto encontra o dinheiro

O próprio CERT.br usa como exemplo o controle interativo durante uma sessão de Internet Banking. Não é por acaso que tantos casos observados no país misturam RAT, trojan bancário e suporte remoto fraudulento.

Em 2019, o BRATA mostrou como esse risco funcionava no Android. Uma das campanhas usava uma falsa correção do WhatsApp. O aplicativo abusava da Acessibilidade para monitorar a tela, capturar credenciais, ler mensagens e ganhar controle amplo do celular. Ele apareceu até no Google Play, lembrando que loja oficial reduz o risco, mas não substitui atenção ao desenvolvedor e às permissões solicitadas.

Em 2021, a ESET documentou o Janeleiro, direcionado a usuários corporativos no Brasil. Ele observava janelas do navegador e permitia que o operador apresentasse telas bancárias falsas sob demanda. O nome se parece com JanelaRAT, mas são famílias diferentes. Janeleiro é banker. JanelaRAT é um RAT financeiro documentado anos depois.

O Grandoreiro ajuda a enxergar essa zona de contato. Ele é um trojan bancário, não um RAT genérico, mas oferece ao operador bloqueio da tela, registro de teclas, simulação de mouse e teclado e pop-ups falsos. Em janeiro de 2024, a Polícia Federal realizou uma operação contra sua infraestrutura com apoio técnico da ESET.

Há também ataques sem RAT na primeira etapa. A Mandiant investigou um grupo que telefonava para funcionários de empresas brasileiras fingindo ser o suporte de TI. A vítima instalava AnyDesk e entregava o acesso. Em outras cadeias, o grupo usou ferramentas de gerenciamento remoto e também malware. A mesma operação pode combinar software legítimo, credenciais roubadas e backdoor.

O WhatsApp virou outro atalho. Em outubro de 2025, a Kaspersky bloqueou 62 mil tentativas de infecção do banker Maverick no Brasil durante os dez primeiros dias da campanha analisada. O arquivo ZIP vinha de contas comprometidas, iniciava uma cadeia no Windows e ainda tentava sequestrar o WhatsApp para continuar se espalhando. Isso é telemetria de uma empresa, não 62 mil pessoas infectadas.

Em 2026, o cenário continuou chegando por caminhos familiares. O CTIR Gov alertou sobre páginas falsas ou comprometidas que imitavam serviços governamentais e distribuíam malware. Também descreveu páginas do tipo ClickFix, que mandavam a vítima copiar um comando para o Windows. No celular, pesquisadores encontraram o BTMOB em uma campanha voltada ao Brasil. O RAT era distribuído por páginas falsas e aplicativos maliciosos, capturava tela, coletava dados e assumia o aparelho.

No mesmo período, a Kaspersky informou que sua telemetria havia registrado 14.739 ataques ligados ao JanelaRAT no Brasil em 2025. Novamente, ataque detectado não é sinônimo de vítima única, infecção concluída ou total nacional.

Figura 3. A linha histórica e os casos brasileiros foram separados para não confundir uma amostra mundial com incidência nacional.

O tamanho do problema que não sabemos medir

O Brasil aparece repetidamente em pesquisas de segurança, campanhas direcionadas e operações policiais. Isso é evidência de atividade, não uma taxa nacional de RAT.

As bases públicas consultadas do CERT.br e da Polícia Federal trabalham com categorias mais amplas. Elas não oferecem uma série exclusiva capaz de responder quantos RATs infectaram brasileiros ou quanto esse tipo de ataque cresceu. As notificações do CERT.br são voluntárias, e os números de empresas de segurança dependem da base de clientes e dos produtos que cada uma consegue observar.

Por isso, detecção, tentativa, ataque e vítima não podem ser trocados como se fossem a mesma coisa. Um aparelho pode gerar várias detecções. Uma tentativa bloqueada pode não produzir infecção. Uma campanha estudada no Brasil não representa todas as campanhas em circulação.

Essa limitação não enfraquece o alerta. Ela só impede que uma ameaça real seja explicada com estatística inventada.

Sinais que merecem atenção

Cursor se movendo sozinho, tela preta durante o uso do banco, câmera ou microfone ativados sem motivo, aplicativo desconhecido com acesso à Acessibilidade e mensagens enviadas pelo próprio WhatsApp são sinais importantes. Também vale desconfiar de ferramenta remota instalada depois de uma ligação não solicitada de banco, governo ou suporte.

Nenhum desses sinais, isoladamente, confirma um RAT. Uma falha de driver pode mexer com a tela. Um aplicativo legítimo pode usar Acessibilidade. O diagnóstico vem do conjunto: instalação inesperada, permissões amplas, conexão remota, alteração de conta e comportamento que a pessoa não iniciou.

Em empresas, a investigação precisa olhar a sequência. Um agente remoto novo, seguido por inicialização automática, conexão externa longa e abertura de PowerShell ou Prompt de Comando, é mais significativo do que um executável isolado. Ferramentas portáteis também importam, pois podem funcionar sem uma instalação tradicional.

O que fazer quando a suspeita aparece

Prevenção sem transformar tudo em medo

Não abra ZIP, LNK, MSI, APK ou correção urgente só porque chegou de um conhecido. A conta dele pode ter sido comprometida. Confirme por outro canal. Feche páginas que mandam pressionar Win+R, colar um comando ou abrir PowerShell para provar que você não é um robô.

No Android, confira o desenvolvedor e trate Acessibilidade, sobreposição de tela, leitura de notificações, câmera, microfone e instalação de outros apps como permissões de alto impacto. No computador, mantenha sistema, navegador e antimalware atualizados. Ative autenticação em duas etapas nas contas importantes.

Em empresas, ferramentas remotas precisam de inventário, responsáveis e regras. Permitir apenas soluções aprovadas, exigir autenticação forte, limitar privilégios, registrar sessões e monitorar conexões torna o abuso mais visível. O treinamento também deve incluir falso suporte, WhatsApp e ClickFix, não apenas o velho anexo de e-mail.

O ponto central é simples. RAT não é apenas software malicioso. É presença humana escondida dentro do aparelho. A defesa começa quando tratamos anexos, comandos copiados, permissões e pedidos de acesso remoto como decisões de segurança, não como etapas banais de suporte.

Referências reunidas no fim para manter a leitura limpa.

• Veronica Valeros e Stratosphere Laboratory. A Study of RATs e Third Timeline Iteration.

• CERT.br. Códigos Maliciosos, Cartilha de Segurança para Internet.

• CERT.br. Servidor de comando e controle de RAT.

• CERT.br. Estatísticas de Incidentes.

• Polícia Federal. Dados Estatísticos de Combate a Crimes Cibernéticos.

• GSI. Orientação sobre segurança em soluções de acesso remoto.

• CTIR Gov. Recomendação 02/2026.

• CTIR Gov. Recomendação 03/2026.

• CISC Governo Digital. Malware utilizando WhatsApp.

• ENCCLA. Fraude do falso técnico e abuso de software de acesso remoto.

• MITRE ATT&CK. Remote Access Software, T1219.

• Kaspersky. BRATA: RAT Android observado inicialmente no Brasil.

• ESET Research. Janeleiro: trojan bancário direcionado a usuários corporativos no Brasil.

• ESET Research. Operação contra o trojan bancário Grandoreiro.

• Google Cloud e Mandiant. BREEZE COMET targets Brazil.

• Kaspersky GReAT. Maverick banker distributing via WhatsApp.

• Kaspersky GReAT. JanelaRAT: a financial threat targeting users in Latin America.

• ESET Research. BTMOB: A stealthy RAT burrowing deep into Android devices.