A Kaspersky identificou uma nova variante do JanelaRAT, trojan bancário ativo desde pelo menos 2023 e com foco na América Latina. A versão mais recente, observada em setembro de 2025 e direcionada ao Brasil, traz uma cadeia de infecção mais enxuta: em vez dos múltiplos scripts e arquivos compactados das versões anteriores, o malware agora chega por meio de um arquivo MSI que instala um executável legítimo e uma DLL maliciosa, garantindo persistência desde o primeiro logon. O trojan se disfarça como um aplicativo de pixel art e usa técnicas de ofuscação em .NET para dificultar a análise. Seu foco é a fraude financeira: ele monitora janelas ativas em busca de títulos associados a bancos e, ao identificar uma sessão bancária, abre um canal dedicado com o servidor de comando e controle em segundos. A partir daí, os operadores conseguem capturar telas, registrar entradas de teclado e sequestrar a sessão por completo.

Banks in Latin American countries such as Mexico and Brazil have been victims of continuous malware attacks by a strain called JanelaRAT.  An upgraded variant of BX RAT, JanelaRAT, can steal cryptocurrency and financial data from financial organizations, trace mouse inputs, log keystrokes, collect system information, and take screenshots.   In a recent report, Kaspersky said, “One of the key differences between these trojans is that JanelaRAT uses a custom title bar detection mechanism to identify desired websites in victims' browsers and perform malicious actions.” The hackers behind the JanelaRAT attacks constantly modify the malware versions by adding new features.  Security Telemetry data collected by a Russian cybersecurity firm suggests that around 11,695 attacks happened in Mexico and 14,739 in Brazil in 2025. We do not know how many of these led to a successful exploit.  In June 2023, Zscaler first discovered JanelaRAT in the wild, leveraging ZIP archives containing a VBScript to download another ZIP file, which came with a genuine executable and a DLL payload. The hacker then deploys the DLL side-loading tactic to launch the malware.  Distribution tactic An analysis by KPMG in 2025 revealed that the malware is circulated via rogue MSI installer files impersonating as a legit software hosted on trusted sites like GitLab.  "Upon execution, the installer initiates a multi-stage infection process using orchestrating scripts written in Go, PowerShell, and batch,” KPMG said. "These scripts unpack a ZIP archive containing the RAT executable, a malicious Chromium-based browser extension, and supporting components." The scripts are also made to recognize installed Chromium-based browsers and secretly configure their launch parameters to install the extension. The browser add-on collects system data, cookies, browsing history, tab metadata, and installed extensions. It also triggers actions depending upon URL pattern matches.  Phishing campaign The recent malware campaign found by Kaspersky reveals that phishing emails disguised as due invoices are used to lure recipients into downloading a PDF file by opening a link, causing the download of a ZIP archive that starts the attack chain, including DLL side-loading to deploy JanelaRAT. Since May 2024, JanelaRAT malware has moved from VBScripts to MSI installers, which work as a dropper for the trojan via DLL side-loading and build persistence in the victim system by making a Windows Shortcut (LNK) in the Startup folder that leads to the executable.  Victim tracking According to Kaspersky, “The malware determines if the victim's machine has been inactive for more than 10 minutes by calculating the elapsed time since the last user input.”  If the inactivity is over ten minutes, “the malware notifies the C2 by sending the corresponding message. Upon user activity, it notifies the threat actor again. This makes it possible to track the user's presence and routine to time possible remote operations," Kaspersky said.

Uma nova versão do JanelaRAT se disfarça como um aplicativo de pixel art em computadores com Windows e mira usuários de bancos no Brasil, entre outros países da América Latina. O trojan de acesso remoto (RAT), é um malware evoluído do BX RAT, de 2014. Ele usa um sistema de sobreposição de telas para burlar a autenticação de múltiplo fator e capturar senhas e tokens. Com isso, criminosos conseguem acompanhar e fazer transações em tempo real. * **O que é Trojan de Acesso Remoto:** Um Trojan de Acesso Remoto (RAT) é um malware que se disfarça de software legítimo para roubar informações do sistema, contas etc. O malware tem como principais alvos usuários de bancos, fintechs e criptomoedas, e costuma chegar por e-mails com arquivos maliciosos. Isso inclui se passar por faturas eletrônicas ou documentos importantes. Ao clicar nos links ou baixar arquivos ZIP ou PDF anexados, o malware é instalado em dispositivos Windows sem que a vítima perceba. E-mail de phishing usado na campanha do JanelaRAT simula uma notificação de fatura para induzir a vítima a baixar um arquivo ZIP malicioso hospedado no Dropbox. Imagem: Kaspersky. Alguns e-mails podem exibir botões falsos, ícones de PDF ou instruções visuais que parecem legítimas para induzir o usuário a baixar o arquivo malicioso. ## JanelaRAT começa com e-mail falso A partir disso, os criminosos começam a monitorar a atividade do usuário, especialmente quando ele acessa serviços bancários. Isso porque, com o JanelaRAT, eles conseguem interceptar transações em tempo real por meio de janelas falsas. O que eles fazem é capturar senhas, códigos de autenticação e tokens, além de interferir nas operações enquanto o acesso ao banco está em andamento. A técnica usada pelo malware se chama sobreposição de tela. Nela, o RAT exibe janelas falsas que imitam o site do banco ou até atualizações do sistema, cobrindo a tela verdadeira. Diagrama da Kaspersky mostra a evolução das cadeias de infecção do JanelaRAT entre março de 2024 e setembro de 2025, com simplificação progressiva das etapas até a entrega da carga final. Imagem: Kaspersky. Nessas telas, o usuário é induzido a digitar senhas, códigos de autenticação ou outras informações sensíveis, que são imediatamente capturadas pelos criminosos. Essa versão também consegue burlar a autenticação multifator (MFA), capturando códigos de verificação enviados pelo banco ou aplicativo de segurança. ## Cadeia de infecção mais curta, mas mais perigosa A investigação da Kaspersky identificou que os arquivos compactados utilizados na campanha geralmente continham scripts VBScript, arquivos XML, ZIPs adicionais e arquivos BAT. O destino final dessa cadeia era o download de um ZIP com componentes para instalação de DLLs fora da pasta principal e a execução do JanelaRAT como carga útil. A versão mais recente da campanha, no entanto, abandonou parte dessa complexidade. Os agentes de ameaça passaram a usar arquivos MSI para distribuir um executável PE32 legítimo acompanhado de uma DLL maliciosa, instalada manualmente pelo próprio executável. Essa DLL é o JanelaRAT. ## O instalador que finge ser legítimo O arquivo MSI funciona como instalador inicial: prepara o ambiente, garante a persistência e dificulta a análise ao ofuscar caminhos e nomes de arquivos. Ele também abusa da criação de objetos ActiveX — basicamente, componentes do Windows usados para automatizar tarefas — para manipular o sistema de arquivos e executar comandos. Trecho do código do JanelaRAT mostra função de monitoramento de inatividade: o malware só aciona determinadas rotinas após 10 minutos sem interação do usuário. Imagem: Kaspersky. Durante a execução, o MSI define diretórios com base em variáveis de ambiente e cria um atalho na pasta de inicialização do sistema. Se for a primeira vez que o malware roda na máquina, um marcador é criado. Se esse marcador já existir, o instalador redireciona a vítima para um site externo como isca, simulando comportamento legítimo. Na prática, dois arquivos são depositados no sistema — um executável e uma DLL, ambos renomeados com strings aleatórias antes de serem reposicionados. Um atalho LNK na pasta de inicialização aponta para o executável, que ao rodar carrega a DLL com o JanelaRAT. ## Disfarçado de app de pixel art, focado em bancos A variante analisada se disfarça como um aplicativo de pixel art e aplica técnicas clássicas de ofuscação em .NET, como achatamento de fluxo de controle e renomeação de classes — recursos que tornam o código mais difícil de analisar. O foco principal é fraude financeira. O objetivo final do JanelaRAT é a fraude financeira: com acesso total à sessão bancária da vítima, os operadores podem desviar valores em tempo real sem precisar roubar senhas. O malware monitora a atividade da vítima, intercepta interações sensíveis em ambientes bancários e mantém comunicação constante com um servidor de comando e controle (C2). Além de coletar informações do sistema e do perfil do usuário, o trojan usa mutex — basicamente, um mecanismo de bloqueio — para evitar que múltiplas instâncias rodem ao mesmo tempo. A comunicação com o C2 usa strings criptografadas com base64 combinada a AES, e o canal ativo é mantido via socket TCP. Entre as rotinas do malware estão o monitoramento de inatividade do usuário, o envio periódico de beacons HTTP com dados do ambiente comprometido, o download de cargas adicionais e o reforço de persistência via scripts PowerShell. ## Sequestro de sessão bancária em tempo real O JanelaRAT verifica constantemente a janela ativa em busca de títulos associados a instituições financeiras. Ao identificar um alvo, estabelece um canal dedicado com o C2 em questão de segundos. A partir daí, os operadores podem capturar a tela, registrar entradas de teclado, simular comandos e até sequestrar a sessão bancária. Apesar do foco em desktops Windows, o JanelaRAT integra capacidades de monitoramento remoto avançado típicas de ameaças que também afetam usuários móveis em ambientes bancários. Diferente de versões anteriores, essa variante rotaciona o servidor C2 diariamente. O domínio é construído dinamicamente ao concatenar uma string ofuscada, a data atual e um sufixo vinculado a um serviço de DNS dinâmico (DDNS) legítimo. ## Telas falsas bloqueiam a vítima e capturam credenciais Ao detectar um site bancário, o malware consulta o C2 e exibe uma interface falsa em tela cheia — geralmente enviada em Base64 — que imita páginas legítimas ou alertas do sistema e impede qualquer interação da vítima com o que está por trás. O golpe é conduzido por janelas modais que simulam desde formulários de login até telas de "atualização do Windows", sempre com mensagens em português para reforçar a credibilidade. Os operadores também podem exibir alertas personalizados mantidos em primeiro plano, bloqueando o acesso a outras janelas. O JanelaRAT mira sistemas Windows e abusa de recursos nativos do sistema operacional, como objetos ActiveX e a pasta de inicialização, para garantir persistência. Nos bastidores, o malware inclui checagens anti-análise com detecção de ambiente via componentes de acessibilidade e reforça a persistência com scripts no diretório de inicialização do Windows, executados silenciosamente a cada logon. O foco continua sendo instituições financeiras da América Latina, com concentração no Brasil e no México. ## Como se proteger Para se manter seguro, a Kaspersky recomenda que o usuário: • Tenha cuidado ao abrir arquivos ou links recebidos por e-mail ou mensagem, eles podem conter malware. • Use um programa de segurança confiável em todos os dispositivos, como o Kaspersky Premium, para prevenir infecções. • Ative a opção de mostrar extensões de arquivos no Windows e desconfie de arquivos com extensões como "exe", "vbs" ou "scr", que podem ser maliciosos. • Fique atento a e-mails falsos que imitam bancos ou lojas e nunca clique em links suspeitos. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Daily Recap, Cybersecurity news highlights active malware campaigns such as Mirax Android RAT turning devices into SOCKS5 proxies, JanelaRAT targeting Latin American banks, and Storm infostealer that harvests credentials while evading telemetry. It also covers a wave of critical fixes and CVEs across Kali Forms, ShowDoc, SAP, wolfSSL, Adobe, and notable data breaches at Basic-Fit and Booking.com, plus enforcement actions like the W3LL takedown and AI risk discussions from CSA and Goldman Sachs. #Mirax #JanelaRAT #StormStealer #KaliForms #ShowDoc #SAP #wolfSSL #Adobe #BasicFit #BookingCom #W3LL #Mythos #GoldmanSachs #BrowserGate

JanelaRAT, a modified BX RAT, is actively targeting banks and financial institutions in Latin America—particularly Brazil and Mexico—to steal financial and cryptocurrency data while monitoring user activity and manipulating browsers. The multi-stage infection chain leverages ZIP/VBScript and rogue MSI installers with DLL side-loading, plus malicious Chromium extensions and C2 controls to...

JanelaRAT is a banking-focused remote access Trojan campaign active since mid-2023 that uses multi-stage phishing lures, evolving droppers (including MSI-based sideloading), and dynamic C2 infrastructure to target banking users in Latin America. The malware performs real-time session hijacking with overlays, input injection, and extensive monitoring while using obfuscation and anti-analysis techniques to evade detection. #JanelaRAT #Brazil

Banks and financial institutions in Latin American countries like Brazil and Mexico have continued to be the target of a malware family called JanelaRAT. A modified version of BX RAT, JanelaRAT is known to steal financial and cryptocurrency data associated with specific financial entities, as well as track mouse inputs, log keystrokes, take screenshots, and collect system metadata. "One of the

A new financial malware named JanelaRAT is making waves in Latin America. This threat captures sensitive data from compromised Windows systems.

Security Affairs Malware newsletter includes a collection of the best articles and research on malware in the international landscape CPU-Z / HWMonitor watering hole infection – a copy-pasted attack   Fake Claude site installs malware that gives attackers access to your computer   Malware Analysis Static SKILL for Codex   JanelaRAT: a financial threat targeting users in Latin […]

Banks and financial institutions in Latin American countries like Brazil and Mexico have continued to be the target of a malware family called JanelaRAT. A modified version of BX RAT, JanelaRAT is known to steal financial and cryptocurrency data associated with specific financial entities, as well as track mouse inputs, log keystrokes, take screenshots, and collect system metadata. "One of the

JanelaRAT: a financial threat targeting users in Latin America

JanelaRAT hits Latin American banks with 14,739 attacks in Brazil in 2025, enabling credential theft and financial espionage

Curate Feeds | Make Collections | Customize Email Briefs

The JanelaRAT malware, a modified variant of BX RAT, has targeted banks and financial institutions in Latin American countries, including Brazil and Mexico, with 14,739 attacks recorded in Brazil in 2025. The malware is designed to steal financial and cryptocurrency data linked to specific financial entities while also tracking mouse inputs, logging keystrokes, capturing screenshots, and collecting system metadata. No specific attack vectors, CVE IDs, or threat actor attribution were disclosed in the report. The campaign focuses on exfiltrating sensitive financial information from compromised systems. The source of the malware and its distribution methods remain unconfirmed in the provided details.

JanelaRAT hits Latin American banks with 14,739 attacks in Brazil in 2025, enabling credential theft and financial espionage

Kaspersky GReAT experts describe the latest JanelaRAT campaign detailing infection chain and malware functionality updates.

Banks and financial institutions in Latin American countries like Brazil and Mexico have continued to be the target of a malware family called JanelaRAT. A modified version of BX RAT, JanelaRAT is known to steal financial and cryptocurrency data associated with specific financial entities, as well as track mouse inputs, log keystrokes, take screenshots, and collect system metadata. "One of the

JanelaRAT hits Latin American banks with 14,739 attacks in Brazil in 2025, enabling credential theft and financial espionage

JanelaRAT hits Latin American banks with 14,739 attacks in Brazil in 2025, enabling credential theft and financial espionage