# NetWire RAT > [!high] RAT Multiplataforma Versátil — Amplamente Usado em Fraudes de Hospitalidade e Phishing > NetWire RAT é um Remote Access Trojan multiplataforma (Windows/Linux/macOS) comercializado originalmente como ferramenta legítima e depois adotado massivamente por cibercriminosos. É frequentemente documentado em campanhas de phishing contra hotéis e turismo, incluindo a campanha RevengeHotels no Brasil. ## Visão Geral O NetWire RAT foi desenvolvido originalmente pela World Wired Labs como ferramenta comercial legítima de administração remota, mas rapidamente tornou-se uma das ferramentas de acesso remoto mais usadas por cibercriminosos globalmente desde 2012. Em março de 2023, uma operação conjunta do FBI, Europol e autoridades holandesas derrubou a infraestrutura e prendeu o principal administrador do site de distribuição do NetWire. Apesar do takedown, o NetWire continua sendo distribuído em fóruns underground e usado em campanhas ativas. O malware oferece keylogging, captura de tela, acesso a câmera, shell remoto, gerenciamento de arquivos e módulo de credenciais de navegadores. Sua característica multiplataforma — suportando Windows, Linux e macOS — o torna versátil para atacantes. No contexto brasileiro, o NetWire ganhou notoriedade pelo seu uso na campanha [[revengehotels-campaign|RevengeHotels]], documentada pela Trend Micro, que visou específicamente hotéis e pousadas brasileiras para roubo de dados de cartões de crédito de hóspedes registrados. > [!latam] Relevância para o Brasil e LATAM > O Brasil é um alvo documentado do NetWire via campanha [[revengehotels-campaign|RevengeHotels]], que comprometeu sistemas de gestão hoteleira para roubo de dados de cartões de hóspedes. O [[technology|setor de hospitalidade]] e turismo brasileiro — com milhares de hotéis e pousadas usando sistemas de gestão vulneráveis a phishing — deve ser tratado como setor de alto risco. O [[financial|setor financeiro]] também é alvo frequente de campanhas de phishing que usam o NetWire como payload. ## Técnicas Utilizadas | Tática | ID | Técnica | |--------|-----|---------| | Initial Access | [[t1566-001-spearphishing-attachment\|T1566.001]] | Spear-phishing com documentos Office maliciosos | | Collection | [[t1056-001-keylogging\|T1056.001]] | Keylogging de credenciais e dados | | Collection | [[t1113-screen-capture\|T1113]] | Capturas de tela periódicas | | C2 | [[t1071-001-web-protocols\|T1071.001]] | HTTP/HTTPS para comunicação C2 | | Persistence | [[t1543-003-windows-service\|T1543.003]] | Instalação como serviço Windows | ## Detecção - Monitorar processos com acesso a APIs de keylogging (SetWindowsHookEx) por aplicações não esperadas - Detectar criação de serviços Windows com nomes genéricos ou imitando software legítimo - Alertar para tráfego de rede de processos recém-instalados para endpoints C2 externos - Usar regras YARA e Snort/Suricata para assinaturas do NetWire ## Referências - [FBI - NetWire RAT Takedown (2023)](https://www.ic3.gov/Media/Y2023/PSA230309) - [Trend Micro - RevengeHotels Campaign Using NetWire (2019)](https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/revengehotels-cybercrime-group-targets-hotels-using-remote-access-trojans) - [Malpedia - NetWire RAT](https://malpedia.caad.fkie.fraunhofer.de/details/win.netwire)