Nova variante do Millenium RAT usa Telegram para comandar ataques e já atingiu mais de 62 mil computadores com Windows
Uma nova geração do trojan de acesso remoto Millenium RAT vem ganhando força em ataques contra usuários de Windows ao redor do mundo. A versão 4.* da ameaça, analisada por especialistas em segurança, já comprometeu pelo menos 62.289 endpoints em mais de 160 países. Só nos primeiros três meses de 2026, foram identificadas 39.730 máquinas infectadas, revelando uma escalada agressiva da campanha.
Os pesquisadores atribuem essas operações a um grupo de ameaça rastreado como Y2K Operators. O desenvolvedor principal do malware atua sob o pseudônimo “ShinyEnigma” e comercializa o Millenium RAT como serviço, no modelo malware-as-a-service (MaaS). Com preços relativamente baixos e estrutura pronta para uso, o RAT se torna acessível até para criminosos com pouco conhecimento técnico, ampliando o alcance e a frequência dos ataques.
Reescrito em C++ e com arquitetura mais robusta
Uma das mudanças mais relevantes na nova variante é tecnológica: enquanto versões anteriores eram desenvolvidas em .NET, o Millenium RAT 4 foi totalmente reescrito em C++ nativo. Essa alteração elimina a dependência do framework .NET, dificulta algumas formas de detecção baseadas em assinatura e indica uma evolução significativa na maturidade do projeto criminoso.
Mesmo com a mudança de linguagem, o malware mantém um de seus diferenciais: o uso da API de bots do Telegram como canal de comando e controle (C2). Em vez de precisarem manter servidores dedicados, caros e mais fáceis de derrubar, os operadores se escondem por trás da infraestrutura de um aplicativo legítimo e amplamente utilizado. Isso dificulta o bloqueio da comunicação e torna o rastreamento das campanhas mais complexo para equipes de defesa.
O que o Millenium RAT é capaz de fazer
Uma vez instalado no sistema, o Millenium RAT concede ao criminoso praticamente o controle total da máquina comprometida. Entre as funções observadas:
– Roubo de dados armazenados em navegadores (cookies, sessões, senhas salvas e histórico).
– Coleta detalhada de informações do sistema (versão do Windows, hardware, endereço IP, softwares instalados).
– Keylogging, ou seja, registro de todas as teclas digitadas, inclusive senhas e mensagens privadas.
– Captura de tela em tempo real, permitindo que o invasor veja o que o usuário está fazendo.
– Gravação de áudio pelo microfone, transformando o dispositivo em uma escuta.
– Roubo de dados de aplicativos de comunicação, como Telegram e Discord.
– Download e execução de cargas adicionais (outros malwares, ransomwares, ferramentas de roubo de dados).
– Execução de comandos arbitrários via Windows ou PowerShell, abrindo espaço para movimentação lateral, instalação de backdoors e destruição de evidências.
Para garantir que continue ativo mesmo após reinicializações, o Millenium RAT se copia para o diretório %APPDATA% do usuário e cria uma entrada de execução automática no registro do Windows. Assim, o malware é carregado sempre que o sistema é iniciado.
Uso de funções legítimas do Windows em vez de exploits complexos
Um aspecto curioso é que, apesar de suas capacidades amplas, o Millenium RAT não depende de exploits altamente sofisticados para entrar no sistema. Em vez de explorar vulnerabilidades zero-day, por exemplo, ele se apoia na própria API do Windows para executar suas ações.
Quando precisa de privilégios elevados, a ameaça costuma exibir prompts legítimos do Controle de Conta de Usuário (UAC), pedindo permissão de administrador. Como a interface é familiar e parece confiável, muitos usuários aceitam sem questionar, dando ao malware acesso total. Esse uso “criativo” de recursos legítimos ajuda o RAT a escapar de alguns mecanismos de detecção e a passar despercebido por quem não tem hábitos de segurança mais rígidos.
Como o malware se espalha: engenharia social no centro dos ataques
Os criminosos por trás do Millenium RAT apostam fortemente em engenharia social – ou seja, em manipular o comportamento do usuário – para distribuir a ameaça. Diversos tipos de iscas foram observados:
– Softwares crackeados e “ativadores” de programas pagos.
– Ferramentas ligadas a criptomoedas, como carteiras, mineradores ou geradores de chaves.
– Kits de hacking e pacotes para ataques ofensivos.
– Ferramentas de OSINT (coleta de informações públicas).
– Builders de exploits e construtores de malwares.
– Cheats e hacks relacionados a jogos, com destaque para conteúdos associados ao Roblox.
Em várias campanhas, os operadores chegaram a adulterar builders de malware e ferramentas de segurança ofensiva, infectando até outros criminosos que tentavam baixar esses recursos ilegais. Isso cria um efeito em cadeia dentro do próprio submundo do cibercrime.
Iscas em PDF e execução silenciosa em segundo plano
Em uma das campanhas mais bem documentadas, os atacantes usaram documentos PDF como chamariz. O usuário recebia um arquivo que, aparentemente, era um PDF comum, mas na verdade se tratava de um atalho malicioso do Windows.
Ao abrir esse atalho, o sistema executava um comando PowerShell que baixava dois itens: um PDF legítimo, usado como distração, e a carga do Millenium RAT, que era instalada e executada em segundo plano. Na tela da vítima, tudo parecia normal – o documento se abria corretamente -, enquanto o computador já estava sendo comprometido sem qualquer aviso.
Para se manter discreto, o malware adotava nomes de arquivos associados a componentes do próprio Windows ou a soluções de segurança, como:
– svchost.exe
– MsEdgeUpdate.exe
– Microsoft Antivirus.exe
– setup.exe
O objetivo é se camuflar entre processos legítimos, tornando mais difícil para o usuário identificar algo suspeito no Gerenciador de Tarefas.
Quem está na mira: perfil das vítimas
Embora o Millenium RAT possa atingir qualquer usuário de Windows, o padrão das iscas revela alguns perfis mais visados:
– Usuários que procuram programas piratas, cracks e atalhos para burlar licenças.
– Jogadores que podem se interessar por cheats e modificações para ganhar vantagem em jogos online.
– Pessoas envolvidas em criptomoedas, atraídas por ferramentas “milagrosas” de mineração ou gerenciamento.
– Profissionais e curiosos de cibersegurança e hacking, que baixam kits ofensivos, builders e ferramentas suspeitas.
Essa combinação mostra que o grupo por trás do RAT não foca apenas em empresas ou grandes alvos tradicionais, mas explora comportamentos de risco comuns também entre usuários domésticos e até em quem deveria ter maior consciência de segurança.
Riscos para empresas e ambientes corporativos
Apesar do apelo para usuários individuais, o Millenium RAT representa um risco igualmente sério para organizações. Uma máquina corporativa infectada pode servir como porta de entrada para:
– Roubo de credenciais corporativas (VPN, e-mail, sistemas internos).
– Acesso a documentos sensíveis e dados de clientes.
– Instalação posterior de ransomware ou outros malwares destrutivos.
– Espionagem industrial, com captura de telas, áudios e comunicações confidenciais.
– Comprometimento de contas privilegiadas, se o RAT obtiver acesso de administradores.
O uso do Telegram como infraestrutura de C2 também dificulta o bloqueio em redes corporativas que liberam esse tipo de tráfego para fins legítimos, aumentando a superfície de ataque.
Como reduzir o risco de infecção pelo Millenium RAT
Com a disseminação desse tipo de ameaça, boas práticas de segurança se tornam ainda mais importantes. Entre as principais recomendações destacadas pelos especialistas:
– Evitar executar arquivos obtidos de fontes não confiáveis, especialmente cracks, geradores de licença e instaladores suspeitos.
– Manter o sistema operacional e todos os softwares sempre atualizados, aplicando correções de segurança assim que forem disponibilizadas.
– Habilitar autenticação multifator em serviços críticos, reduzindo o impacto do roubo de senhas.
– Desconfiar de qualquer prompt UAC inesperado pedindo privilégios de administrador, principalmente ao abrir documentos ou arquivos que não deveriam exigir esse nível de acesso.
– Monitorar entradas de inicialização automática no registro do Windows, verificando se há programas desconhecidos configurados para iniciar junto com o sistema.
– Observar processos com nomes “de sistema” sendo executados a partir pastas com permissão de gravação do usuário, como Downloads ou diretórios temporários, pois isso é um forte indicativo de tentativa de camuflagem.
Medidas adicionais para usuários domésticos
Para quem usa o computador em casa, algumas ações simples podem elevar consideravelmente o nível de proteção:
– Utilizar uma solução de segurança reconhecida, com proteção em tempo real e verificação de comportamento.
– Desativar, sempre que possível, a execução automática de mídias removíveis e downloads.
– Evitar o uso de contas com privilégios de administrador no dia a dia; em vez disso, utilizar contas padrão e elevar privilégios apenas quando necessário.
– Criar o hábito de checar a extensão real dos arquivos (por exemplo, saber diferenciar um .lnk de um .pdf) para não cair em atalhos maliciosos disfarçados.
– Fazer backups regulares de arquivos importantes em mídias externas ou serviços de armazenamento confiáveis, para reduzir o impacto em caso de comprometimento.
Boas práticas para empresas e equipes de TI
Em ambientes corporativos, a defesa precisa ser mais estruturada e em camadas:
– Implementar políticas de lista branca de aplicativos, permitindo apenas a execução de softwares previamente autorizados.
– Restringir rigorosamente privilégios de administrador, aplicando o princípio do menor privilégio.
– Investir em soluções de EDR (deteção e resposta em endpoints) capazes de identificar comportamentos maliciosos, mesmo quando o malware usa processos e APIs legítimas.
– Treinar periodicamente funcionários sobre engenharia social, riscos de pirataria de software e abertura de anexos suspeitos.
– Monitorar logs de PowerShell, eventos de criação de tarefas agendadas e modificações em chaves de registro sensíveis.
– Definir regras de firewall e proxy que limitem o uso de aplicativos de mensageria como canal de comando e controle, com monitoração de atividades anômalas.
Tendências: por que malwares como o Millenium RAT ganham espaço
O crescimento de famílias como o Millenium RAT revela algumas tendências importantes no cenário de ciberameaças:
– Profissionalização do cibercrime: o modelo MaaS reduz barreiras de entrada, permitindo que qualquer pessoa com acesso a fóruns clandestinos possa “alugar” ferramentas complexas.
– Aproveitamento de plataformas legítimas: usar serviços populares como Telegram dificulta bloqueios em massa e eleva o custo da defesa.
– Foco em engenharia social: em vez de depender apenas de falhas técnicas, os criminosos preferem explorar a curiosidade, a pressa e o desejo por vantagens fáceis por parte dos usuários.
– Modularidade: RATs modernos funcionam como plataformas para outros malwares, permitindo que o invasor ajuste a operação conforme o perfil da vítima.
Com isso, o combate a esse tipo de ameaça exige não apenas tecnologia, mas mudança de cultura em relação ao uso do computador e à forma como arquivos e programas são obtidos.
Em resumo
O Millenium RAT 4 representa uma evolução relevante no arsenal de cibercriminosos: reescrito em C++, com uso de Telegram para C2, vendido como serviço e espalhado por meio de iscas altamente convincentes. Suas capacidades o tornam perigoso tanto para usuários domésticos quanto para empresas, e a melhor forma de defesa passa por uma combinação de atualização constante, atenção a sinais sutis (como prompts de UAC inesperados e processos suspeitos) e abandono de práticas de risco, como uso de softwares piratas e ferramentas não oficiais.
Adotar essas medidas não garante imunidade absoluta, mas reduz drasticamente a chance de ver seu dispositivo entre os mais de 62 mil sistemas já infectados ao redor do mundo.