Brasil: PhantomEnigma e Banana RAT miram bancos

Mais de 20 sites governamentais brasileiros foram sequestrados e transformados em canais de distribuição de malware na campanha PhantomEnigma, descoberta pela ANY.RUN, enquanto, em paralelo, pesquisadores da Trend Micro revelaram o Banana RAT, um trojan bancário identificado como SHADOW-WATER-063 e voltado ao roubo de credenciais e sessões bancárias no Brasil.

O que o PhantomEnigma fez com domínios governamentais brasileiros?

Mais de 20 sites governamentais brasileiros foram sequestrados e convertidos em canais de distribuição de malware na campanha PhantomEnigma descoberta pela ANY.RUN. O dado foi replicado pelo The Hacker News e resumido por AllSec.sh e Pendergrass Consulting, que situam o achado em uma tendência mais ampla de abuso de domínios governamentais em mais de 20 países.

No caso brasileiro, as fontes citadas indicam que a campanha mira organizações bancárias e órgãos públicos. O HackRead acrescentou que o PhantomEnigma abusa de domínios governamentais brasileiros e de canais de e-mail confiáveis para atingir bancos, usando links .gov.br e o que descreve como trusted email para contornar controles de segurança. Até agora, as fontes consultadas não atribuem a operação a grupos APT nem a atores estatais.

O que é o Banana RAT e que capacidade ele tem contra bancos?

Em paralelo, o blog técnico de Igor Urraza registra que pesquisadores da Trend Micro revelaram a operação completa de um trojan bancário chamado Banana RAT, identificado como SHADOW-WATER-063. O malware usa execução sem arquivo via PowerShell, técnicas de ofuscação em camadas e recursos de controle remoto para roubar credenciais e manipular sessões bancárias.

Entre essas capacidades está a alteração de pagamentos com códigos QR Pix, uma função especialmente relevante para o ecossistema financeiro brasileiro. Segundo o resumo técnico publicado por Urraza, o Banana RAT estaria voltado a facilitar fraudes financeiras direcionadas a bancos brasileiros, embora o texto não especifique instituições concretas nem confirme vítimas identificadas por nome.

Que alcance conjunto essas duas campanhas mostram no Brasil?

A coincidência entre uma campanha que reutiliza infraestrutura .gov.br para entregar malware e um trojan bancário com foco em sessões e pagamentos Pix mostra uma pressão mais ampla sobre o setor financeiro e o ambiente público no Brasil, mas as fontes disponíveis ainda não trazem uma atribuição pública consolidada para o PhantomEnigma nem para o Banana RAT.