O Banana RAT, um trojan bancário desenvolvido por operadores brasileiros, foi identificado pela TrendAI em abril de 2026. A malware realiza invasões em instituições financeiras do Brasil, operando somente contra alvos nacionais. O funcionamento ocorre na memória do sistema, com controle remoto em tempo real após a infecção inicial.
A vítima recebe um arquivo malicioso por WhatsApp ou link de phishing, disfarçado como nota fiscal eletrônica com o nome consultar_NF-e.bat. Ao abrir, o código executa um PowerShell oculto que baixa a segunda etapa, msedge.txt, de um servidor remoto. Todo o processamento acontece na RAM, sem manter dados desalocados no disco.
Infraestrutura e camadas de ofuscação
Os operadores mantêm infraestrutura sofisticada, com servidores FastAPI e nove camadas de ofuscação por payload. Cada vítima recebe um arquivo com hash único, dificultando detecção por assinaturas. Quatro threads paralelas geram novos payloads para manter o pool ativo.
Controle remoto e fraude em tempo real
Quando ativo, o malware concede acesso remoto total, incluindo transmissão de tela em tempo real por streaming JPEG. O atacante pode usar múltiplos monitores e ajustar a resolução, além de injetar comandos de mouse e teclado. Um keylogger coleta digitações em buffer circular.
Sobreposição de tela e interceptação de QR codes
A técnica de fraude utiliza overlays completos, com uma mensagem falsa de atualização de segurança. Enquanto a tela mostra o banner, operações não autorizadas são executadas na sessão bancária real, sem percepção do usuário. O código também intercepta QR codes do Pix, substituindo dados do código para desviar fundos.
Alvos e relação com o ecossistema Tetrade
A lista de 16 instituições brasileiras inclui Itaú, Bradesco, Santander Brasil, Caixa, Banco do Brasil, Safra, Banrisul, Daycoval, Sicoob e Sicredi, entre outras. O Banana RAT apresenta semelhanças com a família Tetrade de trojans bancários, mas se diferencia por ser um cliente PowerShell controlado por um servidor Python e por um forte polimorfismo por vítima.
Entre na conversa da comunidade