إعادة كتابة حصان طروادة VENON المخصص للهجمات المصرفية في أمريكا اللاتينية بلغة Rust بمساعدة شبكة عصبية

وصف باحثون حصان طروادة مصرفياً جديداً باسم VENON يستهدف مستخدمي Windows ويحاكي سلوك برمجيات خبيثة معروفة في أمريكا اللاتينية. الفارق الرئيسي أن البرنامج الخبيث مكتوب بلغة Rust، وأن بنيته، بحسب تقدير المحللين، تشير إلى استخدام نشط للذكاء الاصطناعي التوليدي في تطويره.

لماذا يُعد هذا الأمر غير مألوف

هذا النهج غير معتاد في قطاع أحصنة طروادة المصرفية في أمريكا اللاتينية. فالمنطقة تهيمن عليها منذ زمن عائلات مثل Grandoreiro وMekotio وCoyote، وهي مكتوبة عادةً بلغة Delphi. ومع ذلك يكرر VENON منطقها الأساسي: يراقب النوافذ النشطة، ويستبدل واجهة المستخدم في الصفحات المصرفية، ويعترض اختصارات Windows. وبعبارة أخرى، لم يبتكر المهاجمون آلية هجوم جديدة، بل أخذوا نموذجاً مألوفاً ونقلوه إلى بيئة تقنية مختلفة.

واختيار Rust تحديداً هو ما يجعل القصة لافتة. فهذه اللغة تتطلب مستوى تقنياً أعلى من الأدوات الجاهزة المعتادة لصناعة البرمجيات الخبيثة أو من التجميع السريع بأدوات مألوفة. ويرى الباحثون أن مؤلف البرنامج كان يفهم كيف تعمل الهجمات المصرفية المحلية، لكنه اعتمد في الوقت نفسه على الذكاء الاصطناعي التوليدي لإعادة بناء هذه المجموعة من الوظائف وتوسيعها بلغة Rust. وهذا لم يعد مجرد نسخ لشيفرة غيره، بل أسلوب جديد لتجميع أدوات خبيثة ناضجة بسرعة انطلاقاً من أنماط مألوفة.

كيف يعمل VENON

تتم العدوى في VENON على عدة مراحل. وبحسب الباحثين، يُشغَّل البرنامج الخبيث عبر تقنية side-loading لملفات DLL، وقد يصل إلى الضحية عبر أرشيف ZIP وسكربت PowerShell. ويُذكر بشكل منفصل استخدام تقنية ClickFix، حيث تدفع الهندسة الاجتماعية المستخدم إلى تشغيل سلسلة الهجوم الخبيثة بنفسه. وبعد البدء، لا تتعجل مكتبة DLL في الكشف عن نفسها: فهي تفحص البيئة أولاً وتحاول التأكد من أنها لم تقع في صندوق رمل (sandbox) أو تحت مراقبة أدوات الحماية.

• يتحقق مما إذا كانت العينة تعمل في بيئة افتراضية
• يستخدم استدعاءات نظام غير مباشرة لإخفاء نشاطه
• يحاول تجاوز ETW وAMSI قبل تشغيل الحمولة
• يحمّل الإعدادات من Google Cloud Storage وينشئ مهمة في مجدول المهام
• يفتح اتصال WebSocket مع خادم القيادة والتحكم

بعد ذلك ينتقل البرنامج الخبيث إلى مهمته الفعلية. فتستخرج مكتبة DLL سكربتين بلغة Visual Basic لاعتراض اختصارات Windows، وتذكر الدراسة أنهما يستهدفان تطبيق Itaú المصرفي. وفي الوقت نفسه يتتبع VENON عناوين نوافذ المتصفح والنطاقات النشطة. وإذا فتح المستخدم إحدى الخدمات المستهدفة، يضع حصان طروادة طبقة مزيفة فوق الشاشة ويعترض بيانات الاعتماد. ويضم قائمة الأهداف 33 مؤسسة مالية ومنصة عملات مشفرة.

وثمة تفصيل آخر هو آلية التراجع المدمجة. فبعد استبدال الاختصارات، يستطيع البرنامج الخبيث إعادتها إلى حالتها الأصلية، على الأرجح لإخفاء آثار الهجوم. وهذا لا يجعل VENON طفرة تقنية، لكنه يُظهر أن مؤلفه فكّر لا في سرقة البيانات فحسب، بل في التمويه بعد العملية. وتجعل هذه المجموعة من الأساليب الحملة أكثر صموداً: فقد لا تدرك الضحية فوراً أن دخولها إلى المصرف أو إلى خدمة العملات المشفرة تم عبر واجهة مزيفة.

لماذا يرى المحللون بصمة الذكاء الاصطناعي هنا

لم ينشأ افتراض استخدام الذكاء الاصطناعي التوليدي من مؤشر واحد صارخ، بل من البنية العامة للمشروع. ويرى محللو ZenoX أن المطوّر كان يستند بوضوح إلى أحصنة طروادة المصرفية المعروفة في المنطقة، لكنه استعان بالذكاء الاصطناعي لنقل هذا المنطق إلى Rust ولتوسيع الوظائف. وبعبارة أخرى، لم يكن مستوى خبرة المؤلف صفراً، لكن جزءاً من العمل الهندسي ربما جرى تسريعه عبر LLM وما يسمى vibe coding.

ولم يتمكن الباحثون حتى الآن من ربط VENON بمجموعة إلكترونية محددة. ففي عينة مبكرة يعود تاريخها إلى يناير 2026، عثر الباحثون على أثر يحمل اسم المستخدم byst4، لكن ذلك لا يكفي لنسبة موثوقة. أما الاستنتاج الأهم لسوق أمن المعلومات فهو آخر: النماذج التوليدية لم تعد تساعد في كتابة أدوات بسيطة ونماذج أولية غير ضارة فحسب، بل صارت تساعد أيضاً في تغليف المنطق الخبيث ضمن بيئة أحدث وأقل ألفة للمحللين.

ماذا يعني ذلك

تُظهر قصة VENON أن الذكاء الاصطناعي يخفض عتبة الدخول حتى إلى المشاريع الخبيثة المعقدة، لكنه لا يلغي الحاجة إلى معرفة تكتيكات الهجوم. وبالنسبة للمدافعين، هذه إشارة إلى ضرورة تعزيز التحليل السلوكي، والتدقيق بعناية أكبر في مكونات Rust، وأخذ احتمال أن تُجمَّع الموجة المقبلة من أحصنة طروادة المصرفية بوتيرة أسرع من وتيرة تحديث التواقيع الكلاسيكية.