O malware EtherRAT foi primeiramente relatado pela Sysdig em dezembro de 2025. Na época, o vetor de acesso inicial era a exploração do CVE-2025-55182 (React2Shell) em servidores Linux. Em março de 2026, uma campanha de variante Windows foi relatada pela Atos, com a investigação mostrando evidências de atividade remontando a dezembro anterior. Em abril, foi relatado que a família de malware EtherRAT foi usada em ataques de phishing contra organizações governamentais e empresas comerciais na Rússia e na Bielorrússia.
Detalhes Técnicos
CVE-2025-55182: Um vulnerabilidade de execução de código remoto não autenticado existe em versões do React Server Components 19.0.0, 19.1.0, 19.1.1 e 19.2.0, incluindo os pacotes react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack.
Cloud Atlas: A atividade da Cloud Atlas no segundo semestre de 2025 e início de 2026 incluiu novos ferramentas e um novo payload. A atividade incluiu campanhas de phishing com arquivos ZIP maliciosos contendo atalhos LNK, além de múltiplos backdoors, incluindo VBCloud para roubo de arquivos e PowerShower para reconhecimento de rede.
Ransomware Gentleman: A atividade da Ransomware Gentleman incluiu ataques a organizações governamentais e empresas comerciais na Rússia e na Bielorrússia, com a família de malware EtherRAT sendo usada em ataques de phishing.
