O VectraRAT é uma plataforma de Malware como Serviço (MaaS, na sigla em inglês), antes não documentada, que combina recursos de cavalo de troia de acesso remoto (RAT, na sigla em inglês) com roubo automatizado de credenciais e uma cadeia silenciosa de escalada de privilégios no Windows.
Diferentemente da grande quantidade de RATs genéricos que reaproveitam código vazado do AsyncRAT, XWorm ou QuasarRAT, o VectraRAT parece ser um produto full stack (de pilha completa) desenvolvido sob medida e mantido por um único desenvolvedor.
A plataforma é alugada em vez de vendida, com assinaturas a partir de US$ 250 por mês. Os compradores recebem acesso ao servidor de controle VectraHub em Linux, um painel do operador baseado em navegador, um construtor de payload para Windows e suporte via Telegram.
O desenvolvedor, que opera sob o alias "Vectra", acredita-se estar rebrandando uma identidade mais antiga conhecida como "Nyxel", cuja presença pública remonta a pelo menos agosto de 2022.
Pivôs subsequentes na infraestrutura descobriram mais de dez servidores relacionados, dezenas de amostras e evidências de campanhas distintas operadas por compradores.
O VectraRAT consiste em um servidor de comando e controle (C2, na sigla em inglês) em Linux, baseado em Go, chamado VectraHub, e um implante nativo em C++ para hosts Windows.
O hub incorpora um painel web baseado em Vue3 diretamente no binário, permitindo que os operadores implantem um único executável em um servidor privado virtual e exponham a interface de gerenciamento sem depender de uma pilha web separada.
O malware se comunica pela porta TCP (Protocolo de Controle de Transmissão) 3308, por meio de um protocolo binário proprietário que usa um cabeçalho de mensagem de cinco bytes e payloads codificados em MessagePack.
Esse projeto evita padrões comuns de C2 baseados em HTTP (Protocolo de Transferência de Hipertexto) e pode reduzir a visibilidade para defesas focadas estreitamente na inspeção de tráfego web.
O painel do operador permite que os compradores criem payloads personalizados para Windows, modifiquem configurações de C2 embutidas, alterem metadados PE (Executável Portátil) e habilitem uma opção de "Bypass UAC" antes de construir o implante.
Metadados de recurso padrão, como "Product Vectra", "Company Vectra" e versão "0.2", oferecem uma oportunidade prática de caça quando os operadores falham em personalizar o payload.
O VectraRAT também usa validação de licença RSA-PSS-SHA256, impedindo que os compradores forjem licenças de servidor com facilidade ou operem de forma independente infraestruturas clonadas.
O ponto de entrada foi um diretório aberto acessível por HTTP no endereço 86.109.75[.]168, um nó da GorillaServers no AS53850.
Essa arquitetura de licenciamento reforça o modelo de aluguel da plataforma e mantém o desenvolvedor no controle do ecossistema.
O conjunto de recursos do malware abrange tanto atividades de pós-exploração quanto de roubo de credenciais.
Uma vez conectado, o VectraRAT pode coletar automaticamente credenciais de navegadores a partir do Chromium, Firefox e Internet Explorer, enumerar conexões de rede ativas e buscar por arquivos .env, .conf e .config que possam conter chaves de API (Interface de Programação de Aplicações), credenciais de banco de dados ou segredos em nuvem.
Os operadores podem então interagir com sistemas selecionados por meio de computação em rede virtual oculta (VNC, na sigla em inglês), acesso remoto de shell, keylogging, tunelamento SOCKS5, transferência de arquivos, enumeração de processos e monitoramento da área de transferência.
Seu módulo de área de transferência suporta substituição baseada em regex, permitindo que os atacantes substituam endereços de carteiras de criptomoedas copiados por valores controlados pelos próprios invasores.
A STRU identificou infraestrutura ativa do VectraRAT em 23 de junho de 2026, após encontrar um diretório exposto contendo o binário do servidor VectraHub, payloads para Windows, arquivos de licença e registros do painel.
A funcionalidade de área de trabalho oculta é particularmente preocupante porque oferece uma sessão de área de trabalho isolada que as vítimas não veem.
Atacantes podem usar esse acesso para operar navegadores, acessar aplicações internas ou conduzir fraudes enquanto minimizam sinais visíveis no endpoint comprometido.
VectraRAT como Malware como Serviço
O bypass de UAC (Controle de Conta de Usuário) do VectraRAT é um grande diferencial. A técnica corresponde, segundo relatos, ao método 41 do UACME, aprimorado com sequestro de handle (identificador de recurso) de objeto de depuração.
A função patchExeHostReplaceRuns localiza cada bloco com bytes.Index e o sobrescreve com memmove. Edições de ícone e VERSIONINFO passam pela biblioteca pública winres.
Ele abusa de binários de autoelevação do Windows, incluindo o computerdefaults.exe, para iniciar um processo filho malicioso em Alta Integridade sem apresentar um prompt do Controle de Conta de Usuário.
A cadeia começa com o lançamento do winver.exe com um sinalizador de depuração, obtém seu handle de objeto de depuração por meio de APIs nativas do Windows, desanexa o objeto de depuração e o reutiliza para depurar um processo computerdefaults.exe autoelevado.
Em seguida, o implante duplica o handle do processo elevado e cria um processo de payload que herda o token elevado.
Defensores devem investigar processos filhos suspeitos do computerdefaults.exe, comportamento rápido de lançamento e saída do winver.exe e o uso de APIs como NtQueryInformationProcess, NtRemoveProcessDebug e DbgUiSetThreadDebugObject.
A STRU recuperou 38 sessões genuínas de vítimas em menos de uma semana, sendo 48% envolvendo edições corporativas do Windows, como Enterprise, Enterprise LTSC (Canal de Manutenção de Longo Prazo), IoT (Internet das Coisas) Enterprise LTSC e Windows Server 2025.
Geograficamente, os Estados Unidos lideram com sete vítimas únicas, seguidos pela Rússia com quatro e Alemanha com três, com ocorrências adicionais na Suíça, República Tcheca, Índia e Venezuela.
Uma vítima observada no Windows Server 2025 sofreu múltiplas transferências de arquivos e atividade de comandos em 25 minutos, sugerindo roubo ativo de dados em vez de simples reconhecimento.
Atores de ameaça distribuíram o VectraRAT por meio do loader (carregador) Amadey e páginas de engenharia social ClickFix, incluindo iscas com tema fiscal se passando pelo TurboTax.
Campanhas ClickFx normalmente convencem as vítimas a abrir a caixa de diálogo Executar do Windows e colar um comando PowerShell, transformando o usuário no mecanismo de execução.
Organizações devem reforçar uma regra simples: páginas legítimas de verificação nunca instruem os usuários a colar comandos no Executar, PowerShell, Terminal ou Prompt de Comando.
Sinais de detecção de alto valor incluem o mutex (mecanismo de exclusão mútua) LocalVectra.Client.SingleInstance, %TEMP%\callback.json, tráfego de saída TCP 3308 de longa duração, execução suspeita de PowerShell e acesso inesperado a arquivos de configuração que contenham segredos.
O VectraRAT demonstra como ofertas maduras de MaaS estão mesclando cada vez mais roubo de credenciais, controle remoto silencioso e escalada de privilégios em um único serviço alugável.
IOCs (Indicadores de Compromisso)
Nota: Os endereços IP e domínios estão intencionalmente defangados (por exemplo, [.]) para evitar resolução acidental ou geração de hiperlinks. Refangar apenas dentro de plataformas controladas de inteligência de ameaças, como MISP (Plataforma de Compartilhamento de Informações sobre Malware), VirusTotal ou seu SIEM (Sistema de Gerenciamento de Eventos e Informações de Segurança).
Corte cada investigação de alerta do SOC (Centro de Operações de Segurança) em 21 minutos. Potencialize seu SOC com contexto instantâneo de IOC (Indicador de Compromisso) para resposta imediata: Integrate TI (Inteligência de Ameaças) Lookup no seu SOC
