El troyano bancario VENON, dirigido a Latinoamérica, fue reescrito en Rust con ayuda de IA

Investigadores han descrito un nuevo troyano bancario, VENON, que ataca a usuarios de Windows y copia el comportamiento de malware latinoamericano ya conocido. La diferencia clave es que está escrito en Rust y, según los analistas, su estructura apunta a un uso intensivo de IA generativa durante el desarrollo.

Por qué es inusual

Este enfoque no es habitual entre los troyanos bancarios latinoamericanos. En la región dominan desde hace tiempo familias como Grandoreiro, Mekotio y Coyote, normalmente escritas en Delphi. VENON repite su lógica central: vigila las ventanas activas, suplanta la interfaz de las páginas bancarias y secuestra accesos directos de Windows. En esencia, los atacantes no inventaron una mecánica nueva, sino que tomaron un modelo conocido y lo trasladaron a otra base tecnológica.

La elección de Rust es lo que hace notable el caso. Este lenguaje exige más preparación técnica que un típico kit de creación de malware o un montaje rápido con herramientas habituales. Los investigadores creen que el autor entendía cómo funcionan los ataques bancarios locales, pero se apoyó en IA generativa para recrear y ampliar ese conjunto de funciones en Rust. Ya no se trata de simple copia de código ajeno, sino de una nueva forma de ensamblar rápidamente herramientas maliciosas maduras a partir de patrones conocidos.

Cómo funciona VENON

La cadena de infección de VENON tiene varias fases. Según los investigadores, el malware se ejecuta mediante side-loading de DLL y puede llegar a la víctima a través de un archivo ZIP y un script de PowerShell. También se menciona la técnica ClickFix, en la que la ingeniería social empuja al usuario a lanzar por sí mismo la cadena maliciosa. Tras iniciarse, la DLL no se apresura a mostrarse: primero revisa el entorno e intenta comprobar que no ha caído en un sandbox ni bajo la vigilancia de herramientas de seguridad.

• Comprueba si la muestra se ejecuta en un entorno virtual
• Usa llamadas al sistema indirectas para ocultar su actividad
• Intenta eludir ETW y AMSI antes de lanzar la carga útil
• Descarga su configuración de Google Cloud Storage y crea una tarea programada
• Abre una conexión WebSocket con el servidor de comando

Después, el malware pasa a su tarea principal. La DLL extrae dos scripts de Visual Basic para secuestrar accesos directos de Windows; según la investigación, apuntan a la aplicación bancaria Itaú. Al mismo tiempo, VENON rastrea los títulos de las ventanas del navegador y los dominios activos. Si el usuario abre uno de los servicios de interés, el troyano superpone una capa falsa sobre la pantalla e intercepta las credenciales. En total, la lista de objetivos incluye 33 entidades financieras y plataformas cripto.

Otro detalle es un mecanismo de reversión integrado. Tras sustituir los accesos directos, el malware puede devolverlos a su estado original, probablemente para borrar las huellas del ataque. Esto no convierte a VENON en un avance tecnológico, pero muestra que su autor pensó no solo en robar datos, sino también en el encubrimiento posterior a la operación. Este conjunto de técnicas hace más resistente a la campaña: la víctima puede tardar en darse cuenta de que su acceso al banco o al servicio cripto pasó por una interfaz falsa.

Por qué se ve la mano de la IA

La hipótesis de la IA generativa no surgió de un único indicio llamativo, sino de la estructura general del proyecto. Los analistas de ZenoX creen que el desarrollador se guio claramente por los troyanos bancarios conocidos de la región, pero usó IA para trasladar esa lógica a Rust y ampliar la funcionalidad. Dicho de otro modo, el autor no partía de cero en experiencia, aunque parte del trabajo de ingeniería pudo acelerarse con un LLM y el llamado vibe coding.

Por ahora no se ha podido vincular VENON con un grupo cibercriminal concreto. En una muestra temprana, fechada en enero de 2026, los investigadores hallaron un artefacto con el nombre de usuario byst4, pero eso no basta para una atribución fiable. Para el sector de la ciberseguridad importa más otra conclusión: los modelos generativos ya ayudan no solo a escribir utilidades y prototipos inofensivos, sino también a empaquetar lógica maliciosa en una tecnología más moderna y menos familiar para los analistas.

Qué significa

El caso VENON muestra que la IA reduce la barrera de entrada incluso para proyectos de malware complejos, pero no elimina la necesidad de conocer las tácticas de ataque. Para los defensores es una señal para reforzar el análisis de comportamiento, examinar con más atención los componentes en Rust y asumir que la próxima oleada de troyanos bancarios puede ensamblarse más rápido de lo que se actualizan las firmas clásicas.