# MagicRAT
> Tipo: **malware** · S1182 · [MITRE ATT&CK](https://attack.mitre.org/software/S1182)
## Descrição
[[s1182-magicrat|MagicRAT]] é uma ferramenta de acesso remoto (RAT) desenvolvida em C++ e utilizada exclusivamente pelo [[g0032-lazarus-group|Lazarus Group]] (APT38 / Hidden Cobra), grupo norte-coreano atribuído ao RGB (Reconnaissance General Bureau). O MagicRAT foi descoberto pelo Cisco Talos em 2022 em campanhas contra organizações de energia e infraestrutura crítica, distinguindo-se pelo uso incomum do framework Qt para desenvolvimento da interface de controle, tornando a análise estática mais complexa.
O MagicRAT fornece execução arbitrária de comandos via shell Windows ([[t1059-003-windows-command-shell|T1059.003]]), download e execução de arquivos adicionais ([[t1105-ingress-tool-transfer|T1105]]), descoberta do sistema ([[t1082-system-information-discovery|T1082]]) e configuração de rede ([[t1016-system-network-configuration-discovery|T1016]]). A persistência é estabelecida via Registry Run Keys ([[t1547-001-registry-run-keys-startup-folder|T1547.001]]) e Scheduled Task ([[t1053-005-scheduled-task|T1053.005]]). O malware mascara seu tipo de arquivo real ([[t1036-008-masquerade-file-type|T1036.008]]) e mascara sua localização como software legítimo ([[t1036-005-match-legitimate-resource-name-or-location|T1036.005]]). A comunicação C2 usa HTTP ([[t1071-001-web-protocols|T1071.001]]) com exfiltração via canal C2 ([[t1041-exfiltration-over-c2-channel|T1041]]).
O [[g0032-lazarus-group|Lazarus Group]] é responsável por alguns dos ataques cibernéticos mais significativos da história, incluindo o ataque ao Banco Central do Bangladesh (81 milhões de dólares roubados) e o ataque WannaCry. O grupo tem histórico de ataques ao setor financeiro e de criptomoedas globalmente, representando risco direto a organizações financeiras brasileiras.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1070-004-file-deletion|T1070.004 - File Deletion]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1036-005-match-legitimate-resource-name-or-location|T1036.005 - Match Legitimaté Resource Name or Location]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1027-013-encryptedencoded-file|T1027.013 - Encrypted/Encoded File]]
- [[t1053-005-scheduled-task|T1053.005 - Scheduled Task]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]]
- [[t1041-exfiltration-over-c2-channel|T1041 - Exfiltration Over C2 Channel]]
- [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]]
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]]
- [[t1036-008-masquerade-file-type|T1036.008 - Masquerade File Type]]
## Grupos que Usam
- [[g0032-lazarus-group|Lazarus Group]]
## Detecção
- **[[ds-0009-process|Process Creation]]** - Monitorar execução de processos Qt framework (binários grandes com dependências de biblioteca Qt) em sistemas sem aplicações Qt legítimas instaladas - o MagicRAT usa Qt para desenvolvimento.
- **[[ds-0022-file|File Modification]]** - Detectar criação de arquivos em localizações que imitam software legítimo com extensões incorretas - técnica de mascaramento de tipo de arquivo do MagicRAT.
- **[[ds-0029-network-traffic|Network Traffic Content]]** - Alertar para beaconing HTTP regular de processos com nomes genéricos em localizações de sistema - padrão de C2 do MagicRAT para comunicação com servidores C2 do Lazarus.
```sigma
title: MagicRAT Scheduled Task Persistence
status: experimental
logsource:
category: process_creation
product: windows
detection:
selection:
Image|endswith: '\schtasks.exe'
CommandLine|contains:
- '/create'
- '/tr'
ParentImage|endswith:
- '\cmd.exe'
- '\powershell.exe'
condition: selection
falsepositives:
- Legitimaté software creating scheduled tasks via scripts
level: medium
tags:
- attack.persistence
- attack.t1053.005
- code/distill
```
## Relevância LATAM/Brasil
O [[g0032-lazarus-group|Lazarus Group]], operador do MagicRAT, é responsável por alguns dos maiores roubos financeiros cibernéticos da história, com foco em exchanges de criptomoedas, bancos e sistemas SWIFT. O Brasil, como um dos maiores mercados de criptomoedas da América Latina e com setor bancário significativo, está dentro do escopo de interesse do Lazarus Group para operações de geração de receita em apoio ao programa de armas da Coreia do Norte.
## Referências
- [MITRE ATT&CK - S1182](https://attack.mitre.org/software/S1182)
- [Cisco Talos - MagicRAT: Lazarus' newest malware](https://blog.talosintelligence.com/magicrat-lazarus-apt/)