CYBER THREAT INTELLIGENCE AMÉRICA LATINA · Inteligência estratégica sobre fraude financeira digital Ver o blog
Pesquisa editorial independente · América Latina

Dataset próprio · dados até 2026-09-29

Mapa de ameaças financeiras da América Latina

Quais famílias de malware financeiro as fontes documentam em cada país. Cada dado remete a uma referência verificável; as contagens descrevem o dataset, não a prevalência real.

Ver o mapa Solicitar o relatórioLer o blog
famílias no dataset
67

Famílias por plataforma

Android 31

AntidotAnubisBeatBankerBrasDexBRATACopybaraDevilNFCGhimobGigabudGoatRATGodfatherHerodotusHookHydraK99 Triumph CityMedusaNFCMultiPayNFU PayNGatePixBankBotPixPiratePixRevolutionPixStealerPromptSpyRocinanteSpyLoanSpyNoteToxicPandaTsarBotXenomorphZanubis

Windows e PoS/ATM 28

AmavaldoBanana RATBBTokBizarroBlind EagleCasbaneiroChavecloakCoyoteGoPixGrandoreiroGuildmaJanelaRATJaneleiroJavaliKREMLINLampionMekotioMispaduNFe-RATNumandoOkoBotPrilexSCMBANKERStarland RATTCLBANKERVadokristVenonWater Saci

PhaaS 8

Balonx SistemaDarculaGitBaitKit BDV multibancoLucidPhoenix SystemShadowParasiteVX-Pack

Abrir o explorador de famílias →
alertas institucionais
7

Alertas de órgãos

países com famílias documentadas
9

Famílias por país

  • Brasil36
  • México14
  • Peru7
  • Colômbia6
  • Argentina4
  • Chile2
  • Venezuela2
  • Paraguai1
  • Costa Rica1

18 territórios sem famílias no dataset

técnicas ATT&CK*
64

Técnicas ATT&CK usadas pelas famílias

53 de 67 famílias têm ficha com técnicas · dados até 2026-09-29

  • T1417.002Input Capture: GUI Input Capture15
  • T1516Input Injection12
  • T1660Phishing10
  • T1566Phishing9
  • T1417Input Capture8
  • T1102Web Service7
  • T1219Remote Access Software6
  • T1513Screen Capture6
  • T1056Input Capture5
  • T1418Software Discovery4
  • T1636.004Protected User Data: SMS Messages4
  • T1105Ingress Tool Transfer3
  • T1115Clipboard Data3
  • T1189Drive-by Compromise3
  • T1406Obfuscated Files or Information3
  • T1437.001Application Layer Protocol: Web Protocols3
  • T1566.001Phishing: Spearphishing Attachment3
  • T1574.002Hijack Execution Flow: DLL Side-Loading3
  • T1027Obfuscated Files or Information2
  • T1027.001Obfuscated Files or Information: Binary Padding2
  • T1036Masquerading2
  • T1059.001Command and Scripting Interpreter: PowerShell2
  • T1059.005Command and Scripting Interpreter: Visual Basic2
  • T1071Application Layer Protocol2
  • T1185Browser Session Hijacking2
  • T1204.002User Execution: Malicious File2
  • T1218System Binary Proxy Execution2
  • T1417.001Input Capture: Keylogging2
  • T1430Location Tracking2
  • T1534Internal Spearphishing2
  • T1547.001Boot or Logon Autostart Execution: Registry Run Keys2
  • T1566.002Phishing: Spearphishing Link2
  • T1568.002Dynamic Resolution: Domain Generation Algorithms2
  • T1614.001System Location Discovery2
  • T1633Virtualization2
  • T1636.003Protected User Data: Contact List2
  • T1053.005Scheduled Task1
  • T1055Process Injection1
  • T1056.001Input Capture: Keylogging1
  • T1082System Information Discovery1
  • T1110Brute Force1
  • T1113Screen Capture1
  • T1114.001Email Collection: Local Email Collection1
  • T1200Hardware Additions1
  • T1218.007System Binary Proxy Execution: Msiexec1
  • T1426System Information Discovery1
  • T1476Deliver Malicious App1
  • T1496Resource Hijacking1
  • T1497Virtualization1
  • T1497.001Virtualization1
  • T1499Endpoint DoS1
  • T1550Use Alternate Authentication Material1
  • T1555Credentials from Password Stores1
  • T1555.003Credentials from Web Browsers1
  • T1557Adversary-in-the-Middle1
  • T1564Hide Artifacts1
  • T1567Exfiltration Over Web Service1
  • T1598Phishing for Information1
  • T1625Hijack Execution Flow1
  • T1629.002Impair Defenses1
  • T1630Account Access Removal1
  • T1636.001Protected User Data: Calendar Entries1
  • T1636.002Protected User Data: Call Logs1
  • T1646Exfiltration Over C2 Channel1

* Análise descritiva com dados até 15 de setembro: 64 técnicas distintas e 171 pares família–técnica.

O que o dataset documenta

Números do dataset na data dos dados. Não são prevalência de campo, ranking de risco nem volume de incidentes observados.

Android

31 famílias

Trojans bancários móveis, overlays, relay NFC e stealers do Pix.

Famílias documentadas · 31

AntidotAnubisBeatBankerBrasDexBRATACopybaraDevilNFCGhimobGigabudGoatRATGodfatherHerodotusHookHydraK99 Triumph CityMedusaNFCMultiPayNFU PayNGatePixBankBotPixPiratePixRevolutionPixStealerPromptSpyRocinanteSpyLoanSpyNoteToxicPandaTsarBotXenomorphZanubis

Países com mais famílias

  • Brasil13
  • Peru4
  • Colômbia2
  • Argentina1
  • México1

Contagem do documentado, não prevalência.

Ver estas 31 no explorador →

Windows / PoS

28 famílias

Bancários de desktop, toolkits e malware de ponto de venda.

Famílias documentadas · 28

AmavaldoBanana RATBBTokBizarroBlind EagleCasbaneiroChavecloakCoyoteGoPixGrandoreiroGuildmaJanelaRATJaneleiroJavaliKREMLINLampionMekotioMispaduNFe-RATNumandoOkoBotPrilexSCMBANKERStarland RATTCLBANKERVadokristVenonWater Saci

Países com mais famílias

  • Brasil22
  • México10
  • Argentina3
  • Chile2
  • Colômbia2

Contagem do documentado, não prevalência.

Ver estas 28 no explorador →

PhaaS

8 famílias

Phishing como serviço, smishing/RCS e infraestrutura AiTM.

Famílias documentadas · 8

Balonx SistemaDarculaGitBaitKit BDV multibancoLucidPhoenix SystemShadowParasiteVX-Pack

Países com mais famílias

  • México3
  • Colômbia2
  • Brasil1
  • Costa Rica1
  • Peru1

Contagem do documentado, não prevalência.

Ver estas 8 no explorador →

CERTs e reguladores

7 alertas

Alertas institucionais; não são famílias de malware.

Alertas de órgãos

Limitações

Este mapa parte de um dataset próprio, curado à mão para a América Latina e o Caribe e com referências verificáveis. Mede o que está documentado; não mede quanto malware há na região.

01

Não é prevalência

As contagens são do dataset na data dos dados. Não são um ranking de risco por país nem por família.

02

Ausência ≠ ameaça zero

Países sem evidência são marcados como lacunas de cobertura, não como território limpo.

03

Uma menção não prova vítimas

Um país citado nas fontes não implica que haja vítimas ali. E o tamanho da contagem depende da literatura disponível: o Brasil concentra a maior parte da documentação pública.

04

Alertas oficiais não medem volume

Os alertas de CERTs e reguladores ancoram a voz institucional; não medem volume nem cobertura.

Mapa por país

Selecione um país para ver as famílias documentadas. A cor indica quantas famílias mencionam o país em suas fontes, não quanta atividade existe.

Famílias que mencionam o país
  • Lacuna · sob investigação
  • 1–2
  • 3–5
  • 6–10
  • 11 ou mais
  • Somente alertas institucionais

País por país

O mapa completo em texto: países com famílias documentadas e países só com alertas institucionais.

Brasil 36 famílias documentadas

PixPirate BrasDex PixBankBot PixStealer Ghimob GoatRAT Herodotus NGate NFCMultiPay PixRevolution Gigabud K99 Triumph City NFU Pay Mekotio Casbaneiro Guildma Javali Mispadu Numando Amavaldo Vadokrist Janeleiro Coyote Prilex Lampion BBTok JanelaRAT Chavecloak TCLBANKER NFe-RAT Water Saci Venon KREMLIN OkoBot Banana RAT VX-Pack

México 14 famílias documentadas

Gigabud Grandoreiro Mekotio Casbaneiro Mispadu Numando Amavaldo BBTok JanelaRAT SCMBANKER OkoBot Balonx Sistema GitBait Kit BDV multibanco

Colômbia 6 famílias documentadas

Gigabud K99 Triumph City Casbaneiro Blind Eagle Kit BDV multibanco ShadowParasite

Argentina 4 famílias documentadas

PromptSpy Casbaneiro Bizarro Blind Eagle

Venezuela 2 famílias documentadas

Starland RAT Kit BDV multibanco

Paraguai 1 família documentada

Ghimob

Costa Rica 1 família documentada

Kit BDV multibanco

Lacunas de cobertura · sob investigação

Países da América Latina e do Caribe sem evidência documentada até agora: não são «território limpo»; são lacunas das fontes disponíveis. Estão sob investigação.

BahamasBelizeBolíviaCubaEl SalvadorEquadorGuatemalaGuianaHaitiHondurasNicaráguaPanamáPorto RicoSurinameTrinidad e TobagoUruguai

Quatro frentes do dataset

O dataset se organiza em Android, Windows e PoS, PhaaS e alertas institucionais. Cada frente tem uma leitura ampliada no blog.

Android

Trojans bancários móveis, overlays, relay NFC e stealers do Pix. Inclui Zanubis, Medusa, NGate, Copybara e Herodotus.

Ler: overlays e Pix →

PhaaS · AiTM

Plataformas e kits de phishing como serviço: Balonx Sistema, GitBait, Lucid e Darcula.

Ver o relatório →

CERTs · Reguladores

Alertas de órgãos: CSIRT Chile/ANCI, CNSD Peru, Superintendência de Bancos da República Dominicana e JaCIRT Jamaica.

Ver as lacunas de cobertura →

Relatório 2023–2026

Três anos de ameaças financeiras na América Latina. O relatório de quatro páginas é de leitura livre; o estudo completo é entregue sob solicitação institucional.

Ver o relatório →

Inteligência estratégica sobre fraude financeira digital

Esta publicação acompanha como evoluem as ameaças contra bancos, fintechs e usuários financeiros da América Latina e o que muda para quem decide: padrões regionais, limites da evidência e cenários. O blog reúne análises com fonte e data; há também feed RSS e o perfil profissional do autor no LinkedIn.

Blog

Análises com fonte e data em cada afirmação.

→

RSS

Assinatura do feed para não perder novas publicações.

→

LinkedIn

Perfil profissional de Ezequiel Jorge La Terra.

→

Perguntas frequentes

Como ler este dataset e este mapa.

O que é a Cyber Threat Intelligence LATAM?

É uma pesquisa independente de inteligência de ameaças estratégicas financeiras na América Latina: malware bancário, PhaaS e fraude, com fontes verificáveis e autoria assinada. Mostra o que muda no ecossistema para quem toma decisões; não é um serviço de monitoramento nem um feed ao vivo.

Quem assina esta pesquisa?

Ezequiel Jorge La Terra, autor responsável. O perfil, o alcance do papel e o que a assinatura não garante estão na página do autor.

O dataset mede quanto malware existe na região?

Não. É um dataset próprio curado. As contagens descrevem o que as fontes documentam com dados até 2026-09-29; ausência no dataset ≠ ausência de ameaça.

O que significa um país aparecer colorido no mapa?

Que pelo menos uma família do dataset menciona esse país nas fontes citadas. Quanto mais famílias o mencionam, mais intensa a cor. Não mede vítimas nem atividade. Os países sem cor são lacunas de cobertura.

Por que há países sem dados?

Porque as fontes verificáveis disponíveis não os documentam até agora. É uma lacuna de cobertura, não um sinal de segurança, e esses países estão sob investigação.

Como solicito o relatório ou faço uma consulta?

Na página do relatório está o relatório de leitura livre em PDF; o estudo completo é solicitado nessa mesma página. Consultas e colaborações vão pela página de contato ou por e-mail para contacto@cyberthreatintelligence.lat.

Relatórios e análises relacionados

Encontre o contexto, as fontes e os limites dessas ameaças nos relatórios e artigos do site. Como leitura complementar, consulte a investigação de campo CASHCLOAK LATAM, com seu próprio escopo e período de observação.

Ler os relatórios Ler as análises