VectraRAT: o novo malware que não copiou ninguém — e mira o seu Windows

Uma nova plataforma de malware vendida como serviço entrou no radar das equipas de investigação e está a chamar a atenção por um motivo pouco comum: não é uma derivação de famílias já conhecidas. A Unidade de Investigação de Ameaças da SOCRadar (STRU) documentou o VectraRAT, uma plataforma de Malware-as-a-Service construída inteiramente a partir de zero, e não a partir de código já existente. A análise foi publicada a 14 de setembro de 2026 e o caso é relevante porque os trojans de acesso remoto (RAT) são precisamente o tipo de ferramenta que dá a um atacante controlo interativo sobre postos de trabalho Windows dentro de uma organização.

O que se sabe (e o que ainda não se sabe) sobre o VectraRAT

O elemento central confirmado pela investigação é a arquitetura: a STRU descreve o VectraRAT como uma plataforma de Malware-as-a-Service construída de raiz, o que a distingue da maioria das ofertas do submundo criminoso, tipicamente assentes em projetos abertos reaproveitados, versões recompiladas ou forks de famílias como AsyncRAT, Remcos ou Quasar. O termo «full-stack» usado pelos investigadores aponta para um conjunto completo — implante no endpoint, infraestrutura de comando e controlo e painel de gestão — desenvolvido pelo próprio operador do serviço.

Por prudência editorial, importa sublinhar o que não está publicamente estabelecido neste momento: não foram divulgados identificadores CVE associados, nem pontuações CVSS, porque não se trata de uma vulnerabilidade de software, mas de uma ferramenta ofensiva comercializada a terceiros. Também não confirmámos, em fontes primárias, números de vítimas, preços de subscrição, países afetados ou uma lista estável de indicadores de comprometimento. Quem precisar de IOCs para carregar em SIEM ou EDR deve recorrer diretamente ao relatório da equipa que fez a análise e às respetivas regras de deteção, à medida que forem publicadas.

Porque é que um RAT «feito de zero» é um problema para as defesas

Grande parte da deteção de commodity malware vive de herança: assinaturas, regras YARA, padrões de tráfego e artefactos de configuração que se repetem entre variantes da mesma família. Quando o código é escrito de novo, essa herança desaparece e as equipas de segurança ficam dependentes de deteção comportamental — o que o processo faz, não aquilo a que se parece.

O risco operacional de um RAT é bem conhecido e não mudou. Estas ferramentas permitem vigilância encoberta e acesso não autorizado ao computador da vítima, recolha automatizada de teclas premidas, credenciais, capturas de ecrã, histórico de navegação e correio eletrónico, e concedem ao atacante acesso remoto persistente através de canais de comunicação configurados na infeção inicial, incluindo a capacidade de alterar configurações, navegar e copiar ficheiros e alcançar sistemas ligados. Em ambiente empresarial, isso traduz-se quase sempre em roubo de credenciais e movimento lateral — e, com frequência, é o primeiro capítulo de um caso de ransomware.

O modelo de negócio agrava o alcance. Com o modelo de malware como serviço, pessoas sem competências técnicas conseguem lançar ataques usando código pronto a usar, bastando subscrever e pagar mensalmente. Não é uma tendência marginal: num relatório sobre o submundo criminoso, a Bitsight contabilizou 384 variedades únicas de malware colocadas à venda em 2024, contra 349 em 2023, e concluiu que os trojans de acesso remoto foram a segunda forma de malware mais comum nesse ano, apenas atrás dos stealers.

Um padrão de 2026: RATs inéditos a aparecer em cadeia

O VectraRAT não é um caso isolado. A mesma equipa de investigação publicou, nas últimas semanas, outros implantes até então não documentados, o que sugere um mercado a produzir código novo em vez de reciclar o antigo.

A tendência é visível noutros fornecedores. A mesma unidade analisou também o PEEP, um RAT de browser disfarçado de extensão para Chromium, e a Picus Security descreveu o ModeloRAT, um trojan de acesso remoto para Windows escrito em Python, observado pela primeira vez em janeiro de 2026 e entregue apenas a máquinas integradas em domínio, em ambientes empresariais — sinal de uma seleção deliberada de alvos corporativos. Para as defesas, o efeito prático é o mesmo: menos dependência de nomes de família e mais necessidade de telemetria fina no endpoint.

Mitigação prática para PME e equipas de segurança

Sem IOCs públicos estáveis, a defesa contra um implante novo é sobretudo estrutural. A utilização de soluções de navegação segura e anti-phishing, combinada com a aplicação consistente de atualizações, reduz a probabilidade de um RAT chegar ao sistema. Em concreto:

• Ativar EDR/XDR com deteção comportamental e modo de bloqueio, não apenas monitorização, e garantir que os alertas são triados por alguém — interno ou serviço gerido.
• Restringir a execução de binários e scripts a partir de diretórios de utilizador, como %APPDATA%, %LOCALAPPDATA% e %TEMP%, com regras de controlo aplicacional (WDAC ou AppLocker).
• Vigiar persistências clássicas: HKCU\Software\Microsoft\Windows\CurrentVersion\Run, HKLM equivalente, tarefas agendadas criadas por processos de utilizador e serviços novos.
• Registar e correlacionar execução de powershell.exe, wscript.exe, mshta.exe, rundll32.exe e msbuild.exe lançados por processos de Office, de browser ou de clientes de correio.
• Bloquear técnicas de engano operacional que dominam o acesso inicial, com destaque para o ClickFix e para instaladores falsos — e treinar as equipas para desconfiar de instruções que pedem para colar comandos numa janela de execução.
• Impor autenticação multifator resistente a phishing e rotação de credenciais após qualquer suspeita de infeção, assumindo que tudo o que foi escrito no teclado ficou comprometido.
• Ter cópias de segurança testadas e offline, porque o acesso remoto obtido por um RAT é frequentemente revendido a operadores de extorsão.

Se houver suspeita de compromisso, isolar a máquina da rede sem a desligar (para preservar memória volátil), recolher registos e acionar resposta a incidentes. Em caso de dúvida sobre o alcance da infeção ou se estiverem envolvidos sistemas críticos, a recomendação dos especialistas é recorrer a serviços profissionais de resposta a incidentes, documentando o incidente para efeitos de conformidade e de reporte.

Porque é que isto importa em Portugal

Um RAT numa estação de trabalho não é um incidente «pequeno». Em Portugal, as entidades abrangidas pelo Regime Jurídico da Ciberespaço e Cibersegurança aprovado pelo Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2 — dos setores da energia, saúde, transportes, água e serviços digitais às administrações públicas — têm obrigações de gestão de risco e de notificação de incidentes significativos ao CNCS, com prazos curtos a partir do momento em que o incidente é conhecido. Uma intrusão que permita exfiltração de dados, controlo remoto de sistemas ou interrupção de serviço entra, previsivelmente, nesse perímetro de reporte, e o CERT.PT continua a ser o ponto de contacto operacional para apoio e coordenação da resposta.

Há ainda a dimensão da proteção de dados. Como estes implantes recolhem credenciais, ficheiros e o conteúdo de sessões de trabalho, uma infeção que atinja dados pessoais de clientes, doentes ou trabalhadores configura uma violação de dados pessoais nos termos do RGPD, com o dever de avaliação de risco e, quando aplicável, de notificação à CNPD no prazo de 72 horas e de comunicação aos titulares. Para as PME portuguesas, muitas delas fora de qualquer obrigação setorial, a lição é mais simples e mais dura: o acesso inicial é hoje mercadoria, vende-se por subscrição, e a barreira técnica para quem o compra está cada vez mais baixa.

Perguntas frequentes

O que é o VectraRAT?

É uma plataforma de malware como serviço documentada pela unidade de investigação de ameaças da SOCRadar, descrita como tendo sido construída inteiramente de raiz e não a partir de famílias de trojans de acesso remoto já existentes. O nome nada tem a ver com fabricantes de segurança com designações semelhantes.

Existe algum CVE ou atualização para corrigir isto?

Não. Um RAT é uma ferramenta maliciosa, não uma falha de software, pelo que não existe um patch específico nem um identificador CVE associado a esta plataforma. A defesa passa por deteção no endpoint, controlo de execução, autenticação forte e formação dos utilizadores.

Como posso saber se há um RAT na minha rede?

Procure sinais como ligações de saída persistentes para endereços desconhecidos, processos de utilizador a lançar intérpretes de comandos, novas entradas de arranque automático, tarefas agendadas inesperadas e picos de atividade fora de horas. A ausência de alertas antivírus não é garantia de ausência de infeção quando o código é novo.

Tenho de notificar as autoridades se for afetado?

Depende. Entidades abrangidas pelo Decreto-Lei n.º 125/2025 devem notificar incidentes significativos ao CNCS nos prazos previstos. Se houver comprometimento de dados pessoais, aplica-se o dever de notificação à CNPD em 72 horas ao abrigo do RGPD, com eventual comunicação aos titulares afetados.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Unidade de Investigação de Ameaças da SOCRadar (STRU) e por outros investigadores de segurança citados, bem como no enquadramento legal nacional aplicável.