Trojan bancário VENON, voltado à América Latina, foi reescrito em Rust com ajuda de IA

Pesquisadores descreveram um novo trojan bancário, o VENON, que ataca usuários de Windows e copia o comportamento de malwares latino-americanos conhecidos. A principal diferença é que ele é escrito em Rust e, segundo os analistas, sua estrutura indica uso intenso de IA generativa no desenvolvimento.

Por que isso é incomum

Essa abordagem não é típica entre os trojans bancários latino-americanos. Na região, dominam há tempos famílias como Grandoreiro, Mekotio e Coyote, em geral escritas em Delphi. O VENON repete a lógica central delas: monitora janelas ativas, falsifica a interface de páginas bancárias e sequestra atalhos do Windows. Na prática, os criminosos não inventaram uma mecânica nova de ataque; pegaram um modelo conhecido e o levaram para outra stack tecnológica.

É a escolha do Rust que torna o caso relevante. A linguagem exige mais preparo técnico do que um kit de criação de malware comum ou uma montagem rápida com ferramentas habituais. Os pesquisadores acreditam que o autor entendia como funcionam os ataques bancários locais, mas se apoiou em IA generativa para recriar e ampliar esse conjunto de funções em Rust. Já não é simples cópia de código alheio, e sim uma nova forma de montar rapidamente ferramentas maliciosas maduras a partir de padrões conhecidos.

Como o VENON funciona

A cadeia de infecção do VENON tem várias etapas. Segundo os pesquisadores, o malware é executado por side-loading de DLL e pode chegar à vítima por um arquivo ZIP e um script PowerShell. Também é citada a técnica ClickFix, em que a engenharia social leva o próprio usuário a iniciar a cadeia maliciosa. Depois de iniciada, a DLL não tem pressa de agir: primeiro verifica o ambiente e tenta confirmar que não caiu em um sandbox nem sob observação de ferramentas de segurança.

• Verifica se a amostra está rodando em ambiente virtual
• Usa chamadas de sistema indiretas para esconder a atividade
• Tenta contornar ETW e AMSI antes de executar a carga útil
• Carrega a configuração do Google Cloud Storage e cria uma tarefa agendada
• Abre uma conexão WebSocket com o servidor de comando

Em seguida, o malware parte para o trabalho principal. A DLL extrai dois scripts em Visual Basic para sequestrar atalhos do Windows; segundo a pesquisa, eles miram o aplicativo bancário Itaú. Ao mesmo tempo, o VENON acompanha os títulos das janelas do navegador e os domínios ativos. Se o usuário abre um dos serviços de interesse, o trojan sobrepõe uma camada falsa à tela e intercepta as credenciais. No total, a lista de alvos inclui 33 instituições financeiras e plataformas de cripto.

Outro detalhe é um mecanismo de reversão embutido. Depois de trocar os atalhos, o malware consegue devolvê-los ao estado original, provavelmente para apagar rastros do ataque. Isso não faz do VENON um avanço tecnológico, mas mostra que o autor pensou não só no roubo de dados, mas também em se camuflar após a operação. Esse conjunto de técnicas deixa a campanha mais resistente: a vítima pode demorar a perceber que o acesso ao banco ou ao serviço de cripto passou por uma interface falsa.

Por que se enxerga IA aqui

A hipótese de IA generativa não surgiu de um único indício evidente, mas da estrutura geral do projeto. Analistas da ZenoX acreditam que o desenvolvedor se orientou claramente pelos trojans bancários conhecidos da região, mas usou IA para transportar essa lógica para Rust e ampliar as funcionalidades. Em outras palavras, o autor não partia de um nível zero de conhecimento, mas parte do trabalho de engenharia pode ter sido acelerada com um LLM e o chamado vibe coding.

Ainda não foi possível ligar o VENON a um grupo cibercriminoso específico. Em uma amostra inicial, datada de janeiro de 2026, os pesquisadores encontraram um artefato com o nome de usuário byst4, mas isso não basta para uma atribuição segura. Para o mercado de segurança, outra conclusão pesa mais: os modelos generativos já ajudam não apenas a escrever utilitários e protótipos inofensivos, mas também a empacotar lógica maliciosa em uma stack mais moderna e menos familiar aos analistas.

O que isso significa

O caso VENON mostra que a IA reduz a barreira de entrada até para projetos maliciosos complexos, mas não elimina a necessidade de conhecer táticas de ataque. Para os defensores, é um sinal para reforçar a análise comportamental, olhar com mais atenção para componentes em Rust e considerar que a próxima onda de trojans bancários pode ser montada mais rápido do que as assinaturas clássicas são atualizadas.