TrendMicros Pesquisadores upptäckte i april 2026 en sofistikerad skadlig programvara utvecklad av brasilianare mot landets finansinstitutioner. Banktrojanen som heter Banana RAT spårades under koden SHADOW-WATER-063 och riktar sig specifikt till 16 nationella banker och kryptovalutabörser som använder avancerade realtidsinfektions- och bedrägeritekniker.
Analysen avslöjade en komplex arkitektur som börjar med en skadlig fil förklädd som ett elektroniskt skattedokument som distribueras via WhatsApp och nätfiske-länkar. Operatörer riktar sig särskilt till företagsanvändare som är bekanta med det brasilianska elektroniska faktureringssystemet och använder namn som “Consultar_NF-e.bat” för att kamouflera hotet.
Cadeia sexstegsinfektion
Infektionsprocessen följer ett välstrukturerat flöde. Quando offret kör .bat-filen, ett dolt PowerShell-kommando avfyras omedelbart. Esse-kommandot laddar ner ett andra steg som kallas “msedge.txt” från en fjärrserver, och håller all kod igång i systemets flyktiga minne (RAM) utan att röra lagringen i okrypterad form.
Infrastrukturen som underhålls av operatörerna är sofistikerad. Utilizam-baserade FastAPI-servrar med nio lager av obfuskation i varje nyttolast. Systemet upprätthåller en pool på 100 till 200 unika förgenererade versioner, och varje begäran från ett offer förbrukar en annan fil.
Isso innebär att varje nedladdning har en unik hash. Técnicas traditionell signaturdetektering misslyckas helt med denna strategi. Durante-analys fann forskare fyra parallella trådar som ständigt genererar nya nyttolaster för att hålla poolen full, vilket säkerställer att signaturbaserade antivirus inte kan identifiera hotet.
Controle fullständig fjärrkontroll och realtidsbedrägeri
När den är aktiv ger Banana RAT fullständiga fjärråtkomstfunktioner. Operatören kan sända offrets skärm i realtid via JPEG-streaming, där inspelningarna fungerar med flera bildskärmar och respekterar upplösningsinställningarna. Skadlig programvara injicerar mus- och tangentbordskontroller genom Win32 API:er, vilket gör att operatören kan frysa offrets indata med hjälp av BlockInput-funktionen medan han fjärrstyr maskinen.
En keylogger baserad på GetAsyncKeyState fångar alla tangenttryckningar i en cirkulär buffert med 2 tusen poster. Todas-kommunikation mellan klient och server använder AES-256-CBC-kryptering, där nyckeln härrör från en fast huvudnyckel via SHA-256. Angriparnas serveranalyspanel visar nedladdningar spårade efter land, tid och operativsystem — all registrerad åtkomst kom från Brasil.
Den huvudsakliga blufftekniken använder helskärmsöverlagring. Quando offret öppnar bankwebbplatsen, skadlig programvara visar ett falskt säkerhetsuppdateringsmeddelande som säger “Segurança-uppdatering krävs. STÄNG INTE AV DIN DATOR”. Den falska skärmen visar förloppsanimering med fyra simulerade steg medan operatören utför obehöriga överföringar i den verkliga banksessionen som körs i bakgrunden.
Subsistema tillägnad Pix och QR-kodavlyssning
Skadlig programvara implementerar ett specifikt undersystem för Pix och använder ZXing.NET-biblioteket för att upptäcka och avkoda QR-koder på skärmen. Quando offret försöker betala en räkning via QR, skadlig programvara ersätter koddata. Pengarna går direkt till de kriminellas konton. Essa-funktionalitet finns uteslutande för den brasilianska marknaden, eftersom målet är Pix-teknologin, som inte finns i andra länder.
Forskarna hittade en hårdkodad lista med 16 mål direkt i frontend-källkoden. Todos är brasilianska finansinstitut eller kryptovalutabörser belägna för den nationella marknaden:
- Itaú
- Bradesco
- Santander Brasil
- Caixa
- Banco från Brasil
- Safra
- Banrisul
- Daycoval
- Sicoob
- Sicredi
Assinatura teknik och kontinuerlig utveckling
Infrastrukturanalys avslöjade konsekventa fingeravtryck. Polymorfismmotorn stämplar varje nyttolast med rubriken “PROTECTED SCRIPT v4.0. Projeto Banana (MSEDGE EDITION)”. Utgåvans kvalificerare och versionsnummer föreslår en produktlinje som ständigt uppdateras av utvecklare.
Banana RAT delar funktioner med Tetrade-familjen av brasilianska banktrojaner, som Grandoreiro, Mekotio, Casbaneiro och CHAVECLOAK. Helskärmsbanköverlägget är det avgörande beteendet för denna skadliga programfamilj. Men arkitektoniska skillnader skiljer den från resten: Banana RAT är en PowerShell-klient orkestrerad av Python-servern, medan de andra medlemmarna i Tetrade-familjen följer olika standarder.
Além Dessutom överstiger polymorfismsystemet per offer det som dokumenterats för andra familjemedlemmar. Infrastrukturen överlappar inte heller publicerade indikatorer för Grandoreiro vid analystillfället, vilket tyder på att operatörer använde nya undanflyktstekniker som inte tidigare dokumenterats av säkerhetsgemenskapen.
Federação Brasileira av Bancos har redan fått information som delas av TrendMicro för att skydda institutioner och kunder mot detta växande hot.
