# SparkRAT > [!medium] RAT Open-Source Multiplataforma Adotado por Atores Maliciosos > SparkRAT é um Remote Access Trojan open-source escrito em Go, originalmente públicado no GitHub. Suporta Windows, Linux e macOS, tornando-se atraente para atores de ameaça por sua facilidade de deployment e natureza multiplataforma. Foi documentado em campanhas de atores de ameaça norte-coreanos e grupos de cibercrime. ## Visão Geral O SparkRAT é um RAT (Remote Access Trojan) open-source escrito em Go e originalmente públicado no GitHub pelo usuário XZB-1248. Apesar de ser apresentado como ferramenta legítima de administração remota, o SparkRAT foi amplamente adotado por atores maliciosos devido à sua arquitetura multiplataforma (Windows, Linux, macOS), facilidade de compilação e conjunto robusto de funcionalidades. O malware oferece interface web para gerenciamento de múltiplas vítimas, captura de tela, acesso a arquivos, execução de comandos, transferência de arquivos e acesso a informações do sistema. A arquitetura WebSocket para comunicação C2 facilita o bypass de firewalls que permitem tráfego web. O SparkRAT foi documentado em uso por atores norte-coreanos, incluindo o subgrupo Kimsuky do Lazarus Group, em campanhas de espionagem contra alvos sul-coreanos e organizações de criptomoedas. A disponibilidade pública do código-fonte significa que qualquer ator pode customizar e redeploy a ferramenta, tornando atribuição difícil. > [!latam] Relevância para o Brasil e LATAM > RATs open-source como o SparkRAT são frequentemente adotados por grupos de cibercrime regionais devido ao baixo custo de entrada. O Brasil, com um ecossistema ativo de cibercrime focado em fraude financeira e roubo de credenciais, pode ver adoção do SparkRAT em campanhas locais. A capacidade macOS é especialmente relevante dado o crescimento do uso de MacBooks em empresas brasileiras de tecnologia e finanças. ## Técnicas Utilizadas | Tática | ID | Técnica | |--------|-----|---------| | Execution | [[t1059-command-and-scripting-interpreter\|T1059]] | Execução de comandos remotos via shell | | C2 | [[t1105-ingress-tool-transfer\|T1105]] | Download e upload de arquivos via C2 | | Lateral Movement | [[t1021-remote-services\|T1021]] | Acesso remoto a sistemas | | Collection | [[t1113-screen-capture\|T1113]] | Captura de tela em tempo real | ## Detecção - Monitorar conexões WebSocket de longa duração a endpoints externos não reconhecidos - Detectar processos Go compilados executando em locais incomuns - Alertar para acesso a APIs de captura de tela por processos não autorizados - Usar regras YARA para assinaturas de binários SparkRAT compilados ## Referências - [GitHub - SparkRAT Repository](https://github.com/XZB-1248/Spark) - [AhnLab ASEC - SparkRAT in North Korean Campaigns (2023)](https://asec.ahnlab.com/en/48185/)