# NanoCore RAT
> [!high] RAT MaaS Versátil — Um dos Mais Distribuídos desde 2013
> NanoCore RAT é um Remote Access Trojan para Windows desenvolvido em 2013 e vendido como Malware-as-a-Service (MaaS) em fóruns underground. Apesar de ser antigo, continua amplamente usado em campanhas de phishing globais por sua facilidade de uso, baixo custo e extensa documentação disponível online.
## Visão Geral
O NanoCore RAT é um dos RATs Windows mais longevos e distribuídos em atividade, desenvolvido originalmente por Taylor Huddleston em 2013 e vendido em fóruns de cibercrime por cerca de US$ 25. Após a prisão do autor em 2017 e o vazamento do código-fonte, o NanoCore tornou-se amplamente disponível gratuitamente, amplificando sua adoção por atores de todos os níveis de sofisticação.
O NanoCore oferece controle remoto completo do sistema comprometido via arquitetura plugin: funcionalidades como keylogger, acesso a câmera e microfone, captura de tela, acesso a arquivos e shell remoto são adicionados como plugins separados. Esta flexibilidade permite que operadores customizem o RAT para suas necessidades específicas.
A distribuição ocorre principalmente via phishing com anexos Office maliciosos, documentos PDF e executáveis disfarçados. O NanoCore é frequentemente observado em campanhas de cibercrime financeiro, espionagem industrial de baixo nível e ataques a pequenas e médias empresas globalmente.
> [!latam] Relevância para o Brasil e LATAM
> O NanoCore é frequentemente observado em campanhas de phishing que atingem empresas brasileiras, especialmente via emails com temas fiscais (Nota Fiscal, SEFAZ, Receita Federal) ou de logística. O [[financial|setor financeiro]], PMEs e empresas de **manufatura** no Brasil devem incluir o NanoCore em sua lista de ameaças prioritárias. A facilidade de personalização e o baixo custo tornam-no uma escolha comum de grupos de cibercrime regionais.
## Técnicas Utilizadas
| Tática | ID | Técnica |
|--------|-----|---------|
| Execution | [[t1059-001-powershell\|T1059.001]] | PowerShell para execução e persistência |
| Collection | [[t1056-001-keylogging\|T1056.001]] | Keylogging via plugin |
| Collection | [[t1113-screen-capture\|T1113]] | Captura de tela via plugin |
| C2 | [[t1071-001-web-protocols\|T1071.001]] | HTTP/HTTPS para comunicação C2 |
| C2 | [[t1105-ingress-tool-transfer\|T1105]] | Download de plugins adicionais |
| Persistence | [[t1543-003-windows-service\|T1543.003]] | Persistência via serviço ou registro |
## Detecção
- Regras YARA disponíveis amplamente para detecção de strings do NanoCore em binários
- Monitorar conexões TCP de processos não reconhecidos na porta 54321 (padrão NanoCore C2)
- Detectar criação de entradas de registro de execução automática por processos suspeitos
- Analisar tráfego de rede para padrões de protocolo proprietário do NanoCore
## Referências
- [CISA - NanoCore Malware Alert](https://www.cisa.gov/uscert/ncas/alerts/TA17-293A)
- [Malpedia - NanoCore](https://malpedia.caad.fkie.fraunhofer.de/details/win.nanocore)
- [ANY.RUN - NanoCore Analysis](https://any.run/malware-trends/nanocore)