Le cheval de Troie bancaire VENON, visant l'Amérique latine, a été réécrit en Rust avec l'aide d'une IA

Des chercheurs ont décrit un nouveau cheval de Troie bancaire, VENON, qui cible les utilisateurs de Windows et copie le comportement de malwares latino-américains connus. Sa principale différence : il est écrit en Rust et, selon les analystes, sa structure indique un recours massif à l'IA générative pendant le développement.

Pourquoi c'est inhabituel

Cette approche n'est pas courante chez les chevaux de Troie bancaires latino-américains. La région est depuis longtemps dominée par des familles comme Grandoreiro, Mekotio et Coyote, généralement écrites en Delphi. VENON reprend leur logique centrale : il surveille les fenêtres actives, usurpe l'interface des pages bancaires et détourne les raccourcis Windows. En somme, les attaquants n'ont pas inventé de nouvelle mécanique d'attaque : ils ont pris un modèle connu et l'ont transposé sur une autre pile technologique.

C'est le choix de Rust qui rend l'affaire notable. Ce langage exige un niveau technique plus élevé qu'un kit de fabrication de malwares classique ou qu'un assemblage rapide avec des outils habituels. Les chercheurs estiment que l'auteur comprenait le fonctionnement des attaques bancaires locales, mais s'est appuyé sur l'IA générative pour recréer et étendre cet ensemble de fonctions en Rust. Il ne s'agit plus d'une simple copie du code d'autrui, mais d'une nouvelle façon d'assembler rapidement des outils malveillants matures à partir de schémas connus.

Comment fonctionne VENON

La chaîne d'infection de VENON comporte plusieurs étapes. Selon les chercheurs, le malware est lancé par side-loading de DLL et peut parvenir à la victime via une archive ZIP et un script PowerShell. La technique ClickFix est aussi mentionnée : l'ingénierie sociale pousse l'utilisateur à lancer lui-même la chaîne malveillante. Une fois démarrée, la DLL ne se dévoile pas tout de suite : elle examine d'abord l'environnement et tente de s'assurer qu'elle n'a pas atterri dans un bac à sable ni sous la surveillance d'outils de sécurité.

• Vérifie si l'échantillon s'exécute dans un environnement virtuel
• Utilise des appels système indirects pour masquer son activité
• Tente de contourner ETW et AMSI avant de lancer la charge utile
• Charge sa configuration depuis Google Cloud Storage et crée une tâche planifiée
• Ouvre une connexion WebSocket vers le serveur de commande

Le malware passe ensuite à sa mission principale. La DLL extrait deux scripts Visual Basic destinés à détourner des raccourcis Windows ; selon l'étude, ils visent l'application bancaire Itaú. Parallèlement, VENON suit les titres des fenêtres du navigateur et les domaines actifs. Si l'utilisateur ouvre l'un des services ciblés, le cheval de Troie superpose une fausse couche à l'écran et intercepte les identifiants. Au total, la liste de cibles compte 33 organisations financières et plateformes crypto.

Autre détail : un mécanisme de retour en arrière intégré. Après avoir remplacé les raccourcis, le malware peut les remettre dans leur état d'origine, probablement pour effacer les traces de l'attaque. Cela ne fait pas de VENON une percée technologique, mais montre que son auteur a pensé non seulement au vol de données, mais aussi à la dissimulation après l'opération. Cet ensemble de techniques rend la campagne plus résistante : la victime peut ne pas comprendre tout de suite que sa connexion à sa banque ou à son service crypto est passée par une fausse interface.

Pourquoi on y voit l'IA

L'hypothèse de l'IA générative ne repose pas sur un seul indice flagrant, mais sur la structure globale du projet. Les analystes de ZenoX estiment que le développeur s'est clairement inspiré des chevaux de Troie bancaires connus de la région, mais a utilisé l'IA pour transposer cette logique en Rust et étendre les fonctionnalités. Autrement dit, l'auteur ne partait pas de zéro en matière d'expertise, mais une partie du travail d'ingénierie a pu être accélérée par un LLM et le « vibe coding ».

Il n'a pas encore été possible de rattacher VENON à un groupe cybercriminel précis. Dans un échantillon précoce daté de janvier 2026, les chercheurs ont trouvé un artefact portant le nom d'utilisateur byst4, mais cela ne suffit pas pour une attribution fiable. Pour le secteur de la sécurité, une autre conclusion compte davantage : les modèles génératifs aident déjà non seulement à écrire des utilitaires et prototypes inoffensifs, mais aussi à empaqueter une logique malveillante dans une pile plus moderne et moins familière pour les analystes.

Ce que cela signifie

L'affaire VENON montre que l'IA abaisse le seuil d'entrée même pour des projets malveillants complexes, mais n'élimine pas le besoin de connaître les tactiques d'attaque. Pour les défenseurs, c'est un signal pour renforcer l'analyse comportementale, examiner de plus près les composants en Rust et partir du principe que la prochaine vague de chevaux de Troie bancaires peut être assemblée plus vite que les signatures classiques ne sont mises à jour.