# PLAINTEE > Tipo: **malware** · S0254 · [MITRE ATT&CK](https://attack.mitre.org/software/S0254) ## Descrição [[s0254-plaintee|PLAINTEE]] é uma amostra de malware utilizada pelo [[g0075-rancor|Rancor]] em ataques direcionados na Singapura e no Cambojá, identificada originalmente pela Palo Alto Networks em 2018. O PLAINTEE é um RAT de funcionalidade simples projetado para estabelecer foothold inicial em sistemas Windows comprometidos, coletar informações de reconhecimento e baixar payloads adicionais do servidor C2. O malware estabelece persistência através de chaves de Run do registro ([[t1547-001-registry-run-keys-startup-folder|T1547.001]]) e modifica o registro para armazenar configurações ([[t1112-modify-registry|T1112]]). Utiliza bypass de UAC ([[t1548-002-bypass-user-account-control|T1548.002]]) para operar com privilégios elevados sem alertar o usuário, e emprega criptografia simétrica ([[t1573-001-symmetric-cryptography|T1573.001]]) na comunicação C2. Frequentemente foi entregue em conjunto com o [[s0255-ddkong|DDKONG]], outra ferramenta do [[g0075-rancor|Rancor]], em campanhas de spearphishing usando documentos isca relacionados a eventos geopolíticos no Sudeste Asiático. O [[g0075-rancor|Rancor]] é um grupo de ameaça com foco geográfico no Sudeste Asiático, particularmente em organizações governamentais, militares e de política em Singapura, Cambojá e países vizinhos. As campanhas documentadas utilizam documentos isca em formato DDDE (Dynamic Data Exchange) e macros VBA para entrega inicial, indicando desenvolvimento ativo de capacidades de engenharia social adaptadas ao contexto regional. **Plataformas:** Windows ## Técnicas Utilizadas - [[t1082-system-information-discovery|T1082 - System Information Discovery]] - [[t1112-modify-registry|T1112 - Modify Registry]] - [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]] - [[t1548-002-bypass-user-account-control|T1548.002 - Bypass User Account Control]] - [[t1057-process-discovery|T1057 - Process Discovery]] - [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]] - [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]] - [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]] ## Grupos que Usam - [[g0075-rancor|Rancor]] ## Detecção **Fontes de dados recomendadas:** - **Sysmon Event ID 1 (ProcessCreaté):** Execução de `cmd.exe` ou `powershell.exe` como processo filho de aplicativos Office - indicativo de macro maliciosa entregando PLAINTEE - **Windows Registry:** Criação de valor em `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` com caminho para arquivo em diretório temporário ou de usuário - **Sysmon Event ID 3 (NetworkConnect):** Conexões de saída para IPs/domínios C2 logo após execução de documento Office suspeito **Regras de detecção:** - Sigma: Detecção de processo Office (winword.exe, excel.exe) spawning cmd.exe ou powershell.exe com argumentos ofuscados - YARA: Strings internas e estruturas de protocolo C2 do PLAINTEE identificadas por Palo Alto Unit 42 (2018) ## Relevância LATAM/Brasil O [[g0075-rancor|Rancor]] atua principalmente no Sudeste Asiático, tornando a relevância direta para o Brasil baixa. No entanto, as TTPs do grupo - documentos isca com macros, persistência via registro e download de payloads secundários - são amplamente replicadas por grupos de ameaça que operam na América Latina. Analistas brasileiros podem usar o PLAINTEE como caso de estudo para compreender a categoria de RATs de primeiro estágio entregues via phishing, padrão comum em ataques contra o setor financeiro e governamental brasileiro. ## Referências - [MITRE ATT&CK - S0254](https://attack.mitre.org/software/S0254) - [Palo Alto Unit 42 - Rancor: Targeted Attacks in South East Asia](https://unit42.paloaltonetworks.com/unit42-rancor-targeted-attacks-south-east-asia-using-plaintee-ddkong-malware-families/) - Junho 2018