# NETWIRE
> Tipo: **rat** · S0198 · [MITRE ATT&CK](https://attack.mitre.org/software/S0198)
> [!abstract] Visão Geral
> RAT multiplataforma (Windows/Linux/macOS) comercializado como "ferramenta legitima de administracao remota" desde 2012. Amplamente adotado por grupos de crime financeiro como SilverTerrier (Nigeria, BEC) e TA2541 (aviacao). O desenvolvedor Mario Zanko foi preso na Croatia em marco de 2023 em operação conjunta do FBI e DOJ, resultando em encerramento do servico oficial.
## Descrição
[[s0198-netwire|NETWIRE]] e um Remote Access Trojan (RAT) multiplataforma disponível públicamente desde 2012, comercializado pela empresa croata World Wired Labs sob o pretexto de ser uma "ferramenta legitima de administracao remota". Na prática, foi amplamente adotado por grupos criminosos e APTs para espionagem, roubo de credenciais e fraude financeira em escala global. Suas capacidades incluem acesso remoto completo, keylogging, captura de tela, exfiltração de arquivos, gerenciamento de processos e suporte a proxies para ocultar trafego C2 ([[t1090-proxy|T1090]]).
O [[s0198-netwire|NETWIRE]] e multiplataforma por design: suporta Windows (com persistência via chaves de registro [[t1547-001-registry-run-keys-startup-folder|T1547.001]]), Linux (persistência via XDG autostart [[t1547-013-xdg-autostart-entries|T1547.013]] e cron [[t1053-003-cron|T1053.003]]) e macOS. No Windows, o binario tipicamente e empacotado com UPX ([[t1027-002-software-packing|T1027.002]]) e usa armazenamento fileless para evitar detecção em disco ([[t1027-011-fileless-storage|T1027.011]]). As comúnicacoes sao criptografadas com cifras simetricas ([[t1573-001-symmetric-cryptography|T1573.001]]), e o RAT pode ser injetado em processos legitimos do sistema para evasão ([[t1055-process-injection|T1055]]).
O grupo [[g0083-silverterrier|SilverTerrier]], especializado em fraude Business Email Compromise (BEC) na Nigeria, foi um dos principais usuarios do NETWIRE para comprometer funcionarios financeiros e interceptar transferencias bancarias. O grupo [[g1018-ta2541|TA2541]] utilizou o NETWIRE extensivamente em campanhas de phishing contra o setor de aviacao, usando documentos maliciosos do Microsoft Office ([[t1204-002-malicious-file|T1204.002]]) com macros VBA ([[t1059-005-visual-basic|T1059.005]]) para instalacao.
Em marco de 2023, o FBI e o DOJ conduziram operação coordenada que resultou na prisao do desenvolvedor Mario Zanko na Croatia, no encerramento do dominio `worldwiredlabs.com` e na apreensao do servidor C2. Embora o [[s0198-netwire|NETWIRE]] oficial tenha sido desativado, copias piratas e forks continuam circulando em forums underground.
**Plataformas:** Windows, Linux, macOS
## Como Funciona
O vetor tipico de infecção e via phishing com anexo malicioso ([[t1204-002-malicious-file|T1204.002]]) ou link ([[t1204-001-malicious-link|T1204.001]]). Documentos Office com macros VBScript executam um dropper PowerShell ([[t1059-001-powershell|T1059.001]]) que baixa e instala o agente NETWIRE. Após instalacao, o RAT estabelece persistência adequada ao SO e inicia beacon criptografado para o servidor C2. O operador tem acesso completo ao sistema: keylogger, captura de tela, exploração de arquivos, execução de comandos.
## Attack Flow
```mermaid
graph TB
A["📧 Phishing<br/>Email com anexo Office<br/>ou link malicioso"] --> B["💥 Execução<br/>Macro VBA / VBScript<br/>PowerShell dropper"]
B --> C["📦 Instalacao NETWIRE<br/>UPX-packed binary<br/>Process injection"]
C --> D["🔒 Persistência<br/>Registry Run Keys (Win)<br/>XDG Autostart / Cron (Linux)"]
D --> E["📡 Beacon C2<br/>Comúnicação criptografada<br/>Proxy para ocultar trafego"]
E --> F["🎯 Coleta<br/>Keylogging<br/>Screenshot / File harvest"]
F --> G["💸 Impacto<br/>BEC fraud / espionagem<br/>Credenciais financeiras"]
classDef phish fill:#e74c3c,stroke:#c0392b,color:#fff
classDef exec fill:#e67e22,stroke:#d35400,color:#fff
classDef persist fill:#8e44ad,stroke:#6c3483,color:#fff
classDef c2 fill:#2980b9,stroke:#1a5276,color:#fff
classDef impact fill:#c0392b,stroke:#922b21,color:#fff
class A phish
class B,C exec
class D persist
class E c2
class F,G impact
```
**Grupos documentados:** SilverTerrier (BEC/Nigeria), TA2541 (aviacao), APT33 (Iran/espionagem), The White Company (Paquistao)
## Timeline
```mermaid
timeline
title NETWIRE - Historico
2012 : World Wired Labs lanca NETWIRE
: Comercializado como ferramenta legitima
2014 : SilverTerrier adota para BEC na Africa/LATAM
: Documentado pela Palo Alto Unit 42
2017 : The White Company usa contra Pakistan
: Campanha contra aviacao documentada
2018 : APT33 usa em espionagem contra energia
: TA2541 inicia campanhas aviacao global
2021 : TA2541 intensifica uso contra aviacao
: Documentado em 100+ campanhas phishing
2022 : 100+ paises afetados por campanhas NETWIRE
: Forum underground distribui versoes piratas
2023 : FBI + DOJ prendem Mario Zanko na Croatia
: Dominio worldwiredlabs.com apreendido
: Servico oficial encerrado
2024 : Forks e variantes continuam circulando
: Infraestrutura underground persiste
```
## Técnicas Utilizadas
- [[t1204-002-malicious-file|T1204.002 - Malicious File]] - anexo Office com macro para infecção inicial
- [[t1059-005-visual-basic|T1059.005 - Visual Basic]] - macro VBA no dropper
- [[t1059-001-powershell|T1059.001 - PowerShell]] - download e execução do payload
- [[t1027-002-software-packing|T1027.002 - Software Packing]] - binario UPX-packed
- [[t1055-process-injection|T1055 - Process Injection]] - injecao em processos legitimos
- [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - persistência Windows
- [[t1547-013-xdg-autostart-entries|T1547.013 - XDG Autostart Entries]] - persistência Linux
- [[t1053-003-cron|T1053.003 - Cron]] - persistência Linux alternativa
- [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]] - C2 criptografado
- [[t1090-proxy|T1090 - Proxy]] - proxy para ocultar servidor C2
- [[t1119-automated-collection|T1119 - Automated Collection]] - coleta automatizada de dados
- [[t1027-011-fileless-storage|T1027.011 - Fileless Storage]] - evasão em disco
- [[t1560-003-archive-via-custom-method|T1560.003 - Archive via Custom Method]] - compressao de dados para exfiltração
- [[t1027-obfuscated-files-or-information|T1027 - Obfuscated Files or Information]] - ofuscacao do payload
## Grupos que Usam
- [[g0083-silverterrier|SilverTerrier]] - fraude BEC, alvos financeiros Africa/LATAM
- [[g1018-ta2541|TA2541]] - campanhas phishing setor de aviacao global
- [[g0064-apt33|APT33]] - espionagem industrial, setor energetico
- [[g0089-the-white-company|The White Company]] - espionagem contra governo Paquistao
## Relevância LATAM/Brasil
O [[g0083-silverterrier|SilverTerrier]] - principal operador do NETWIRE para fraude BEC - tem historico extenso de ataques a empresas brasileiras e latino-americanas no setor financeiro e industrial. O Brasil e um dos paises com maior volume de fraude BEC do mundo, e ferramentas como o NETWIRE sao instrumentais nessa cadeia de ataque: comprometer o email de um executivo ou funcionario financeiro, interceptar negociacoes de pagamento e desviar transferencias internacionais.
O [[g1018-ta2541|TA2541]], embora focado em aviacao, também representa risco para companhias aereas e aeroportos brasileiros. Dado que forks e variantes do NETWIRE continuam circulando após a prisao do desenvolvedor, o risco de infecção permanece ativo mesmo com o servico oficial encerrado.
## Detecção
- Monitorar processos inesperados estabelecendo conexoes TCP de saida para IPs desconhecidos, especialmente filhos de `winword.exe`, `excel.exe` ou `wscript.exe`
- Detectar escrita em chaves de registro `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` por processos nao-administrativos
- Alertar para execução de `powershell.exe -enc` (base64 encoded) originada de documentos Office abertos pelo usuario
- Monitorar criação de arquivos executaveis em `%APPDATA%`, `%TEMP%` ou `%USERPROFILE%` por processos de produtividade (Word, Excel)
- Implementar regras de DNS para detectar dominios C2 conhecidos do NETWIRE (atualizados regularmente em feeds de IOC)
## Referências
- [1](https://attack.mitre.org/software/S0198) MITRE ATT&CK - S0198 NETWIRE (2024)
- [2](https://www.justice.gov/opa/pr/justice-department-announces-coordinated-law-enforcement-action-combat-criminal-abuse) DOJ - Criminal Abuse of NetWire RAT (2023)
- [3](https://unit42.paloaltonetworks.com/silverterrier-the-rise-of-nigerian-business-email-compromise/) Unit 42 - SilverTerrier: Nigerian Business Email Compromise (2018)
- [4](https://www.proofpoint.com/us/blog/threat-insight/ta2541-targets-aviation) Proofpoint - TA2541 Targets Aviation (2022)