VENON Banker Campaign

VENON Banker Campaign es una campaña de ciberdelincuencia financiera dirigida al sector bancario brasileño, que emplea un troyano bancario novel escrito en Rust, denominado VENON. Detectado por primera vez en febrero de 2026 por la empresa de ciberseguridad brasileña ZenoX, este malware representa una evolución significativa en el panorama de amenazas latinoamericano, tradicionalmente dominado por familias escritas en Delphi como Grandoreiro, Mekotio y Coyote. La campaña se caracteriza por una cadena de infección de múltiples etapas que combina ingeniería social avanzada (técnica ClickFix), carga lateral de DLL y un sofisticado módulo de robo de credenciales mediante superposiciones falsas (overlays) dirigidas a 33 instituciones financieras y plataformas de activos digitales brasileñas. El análisis del código revela artefactos que apuntan a un desarrollador con el alias "byst4" y el posible uso de inteligencia artificial generativa para la migración del código a Rust, manteniendo las funcionalidades clásicas de los troyanos bancarios de la región.

Nombres Alternativos / Aliases

• Campaña VENON (Por el nombre del malware)
• Operación Byst4 (Por el nombre de usuario encontrado en las rutas de desarrollo)
• RustBanker Campaign (Por el lenguaje de programación utilizado)
• ClickFix Banking Attack (Por la técnica de ingeniería social empleada)
• 33 Banks Campaign (Por el número de entidades financieras objetivo)

Fecha de Detección / Actividad

• Período de Actividad Observado: Activo desde enero de 2026 (fecha de la primera versión del artefacto identificada).
• Fecha de Divulgación Pública: 12 de marzo de 2026 (fecha del artículo de investigación de ZenoX).
• Estado: Activo. La campaña continúa en operación, distribuyendo el malware VENON a usuarios brasileños de Windows.

Actor de Amenaza (Atribución)

• Nombre del Actor: No atribuido a un grupo específico. Se han encontrado referencias al alias de desarrollador "byst4" en las rutas de compilación (C:\Users\byst4...).
• Tipo de Actor: Desarrollador de malware / Grupo cibercriminal. Se sospecha que el autor tiene un profundo conocimiento de las familias de troyanos bancarios latinoamericanos tradicionales.
• Sofisticación: Alta. El uso de Rust para reescribir funcionalidades complejas, la implementación de nueve técnicas de evasión distintas (incluyendo bypass de AMSI y ETW, y llamadas al sistema indirectas), y el desarrollo de una cadena de infección con múltiples etapas (ClickFix, DLL sideloading, VBS hijacking) demuestran un alto nivel de capacidad técnica. El análisis sugiere el posible uso de inteligencia artificial generativa para facilitar la migración del código a Rust.

Resumen Ejecutivo

VENON Banker Campaign introduce un nuevo y peligroso actor en el ecosistema de malware bancario brasileño. El malware VENON, escrito en Rust, combina lo mejor de las familias tradicionales (superposiciones bancarias, monitoreo de ventanas, secuestro de accesos directos) con modernas capacidades de evasión y una cadena de infección sofisticada. La campaña utiliza ingeniería social, probablemente mediante la técnica "ClickFix", para engañar a los usuarios y lograr que ejecuten un script de PowerShell que descarga el malware. Una vez en el sistema, VENON emplea carga lateral de DLL, ejecuta nueve mecanismos de evasión (anti-sandbox, bypass de AMSI/ETW), establece persistencia mediante tareas programadas y comunicación C2 vía WebSocket, y finalmente monitoriza la actividad del usuario para desplegar superposiciones falsas sobre 33 sitios bancarios y robar credenciales. Incluye una funcionalidad de auto-limpieza para restaurar accesos directos modificados y borrar rastros. La elección de Rust complica la ingeniería inversa y sugiere una evolución hacia malware más difícil de detectar, representando una amenaza crítica para el sector financiero brasileño y un posible modelo para futuras campañas en otras regiones.

Vectores de Ataque

1. Ingeniería Social (ClickFix): Se sospecha que el ataque comienza con un mensaje de error falso en una página web que insta al usuario a hacer clic para "solucionar un problema". Este clic ejecuta un comando que lanza un script de PowerShell malicioso.
2. Descarga desde Almacenamiento en Nube: El script de PowerShell actúa como descargador, obteniendo un archivo ZIP que contiene la DLL maliciosa de VENON desde una URL de Google Cloud Storage.
3. Carga Lateral de DLL (DLL Side-Loading): El archivo descargado ejecuta la DLL maliciosa aprovechando un proceso legítimo de Windows, cargando así el malware en memoria.
4. Secuestro de Acceso Directo (LNK Hijacking): El malware utiliza scripts VBS para reemplazar accesos directos legítimos de la aplicación bancaria Itaú con versiones manipuladas que redirigen a la víctima a páginas de phishing controladas por el atacante.
5. Superposiciones Bancarias (Overlays): VENON monitoriza constantemente el título de la ventana activa y el dominio del navegador. Cuando detecta que la víctima accede a una de las 33 instituciones financieras objetivo, despliega superposiciones falsas sobre el sitio legítimo para capturar las credenciales introducidas.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Initial Access (TA0001)	User Execution: Malicious File (T1204.002)	El usuario es engañado mediante la técnica ClickFix para ejecutar un script de PowerShell que descarga e inicia el malware.
Execution (TA0002)	Command and Scripting Interpreter: PowerShell (T1059.001)	Se utiliza PowerShell como descargador inicial para obtener el archivo ZIP con la DLL maliciosa.
Execution (TA0002)	Command and Scripting Interpreter: Visual Basic (T1059.005)	Se emplean scripts VBS para implementar el mecanismo de secuestro de accesos directos (LNK hijacking).
Persistence (TA0003)	Scheduled Task/Job: Scheduled Task (T1053.005)	El malware instala una tarea programada en el sistema para garantizar su persistencia después de un reinicio.
Persistence (TA0003)	Hijack Execution Flow: Shortcut Modification (T1574.005 / T1547.009)	El malware modifica o reemplaza accesos directos legítimos (LNK) para redirigir a las víctimas a sitios maliciosos.
Defense Evasion (TA0005)	Hijack Execution Flow: DLL Side-Loading (T1574.002)	El malware utiliza la carga lateral de una DLL maliciosa para ejecutarse, evadiendo posibles detecciones.
Defense Evasion (TA0005)	Impair Defenses: Disable or Modify Tools (T1562.001)	El malware ejecuta técnicas para omitir AMSI (Antimalware Scan Interface) y ETW (Event Tracing for Windows), debilitando las defensas del sistema.
Defense Evasion (TA0005)	Virtualization/Sandbox Evasion (T1497)	El malware realiza comprobaciones anti-sandbox para evitar ser analizado en entornos controlados antes de ejecutar su payload.
Defense Evasion (TA0005)	Obfuscated Files or Information (T1027)	El malware utiliza llamadas al sistema indirectas y otras técnicas para ofuscar su comportamiento y evadir la detección.
Defense Evasion (TA0005)	Indicator Removal (T1070)	El ataque incluye un paso de desinstalación que restaura los accesos directos originales, eliminando rastros de su actividad.
Credential Access (TA0006)	Input Capture: Web Portal Capture (T1056.003)	El malware despliega superposiciones falsas (overlays) sobre los sitios web bancarios legítimos para capturar las credenciales introducidas por la víctima.
Discovery (TA0007)	Application Window Discovery (T1010)	El malware monitoriza el título de la ventana activa para determinar cuándo el usuario está interactuando con una aplicación o sitio bancario objetivo.
Discovery (TA0007)	System Information Discovery (T1082)	El malware puede recopilar información del sistema para verificar el entorno y las víctimas potenciales.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	El malware establece una conexión con su servidor de C2 utilizando WebSockets, un protocolo de la capa de aplicación.
Command and Control (TA0011)	Ingress Tool Transfer (T1105)	El malware descarga su configuración desde una URL de Google Cloud Storage después de la ejecución inicial.

Flujo de Ataque (Cyber Kill Chain)

1. Reconocimiento: El atacante identifica a usuarios del sector bancario brasileño como objetivo principal, seleccionando 33 instituciones financieras y de activos digitales específicas para atacar.
2. Armamento: El desarrollador ("byst4") crea el malware VENON en Rust, incluyendo la DLL maliciosa, los scripts de PowerShell y VBS, y prepara las superposiciones falsas para los bancos objetivo.
3. Entrega: Se utiliza ingeniería social, probablemente a través de la técnica "ClickFix" en sitios web comprometidos o maliciosos, para presentar al usuario un mensaje de error falso que le incita a hacer clic.
4. Explotación: El clic del usuario ejecuta un comando que lanza un script de PowerShell sin el consentimiento informado de la víctima, iniciando la cadena de infección. No se requiere explotar una vulnerabilidad técnica, sino la psicología del usuario.
5. Instalación: El script de PowerShell descarga un archivo ZIP desde Google Cloud Storage. El contenido del ZIP ejecuta una DLL maliciosa mediante carga lateral, instalando VENON en el sistema. El malware entonces establece persistencia creando una tarea programada y se conecta a su C2.
6. Comando y Control (C2): El sistema infectado establece una conexión persistente vía WebSocket con el servidor de C2 del atacante, permitiendo la recepción de comandos y la exfiltración de datos.
7. Acción sobre Objetivos: VENON monitoriza constantemente la actividad del usuario. Cuando detecta que la víctima accede al sitio web de un banco objetivo, despliega una superposición falsa sobre el mismo, capturando las credenciales bancarias introducidas y enviándolas al atacante.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Servidor de Almacenamiento	Google Cloud Storage (URL específica)	Alojar el archivo ZIP que contiene la DLL maliciosa de VENON para su descarga por el script de PowerShell.
Servidor de C2	No especificado (comunicación vía WebSocket)	Establecer el canal de comando y control para enviar instrucciones al malware y recibir las credenciales robadas.
Páginas Web Maliciosas	No especificadas (usan técnica ClickFix)	Hospedar el mensaje de error falso que inicia la cadena de infección mediante la interacción del usuario.
Páginas de Phishing	Controladas por el atacante (a través de LNK hijacking)	Redirigir a las víctimas desde los accesos directos secuestrados para capturar credenciales, complementando la funcionalidad de superposiciones.

Objetivos y Sectores Atacados

• Objetivo Principal: Usuarios de sistemas operativos Windows en Brasil.
• Sector Prioritario: Sector Financiero. El malware está diseñado específicamente para atacar a 33 instituciones financieras y plataformas de activos digitales brasileñas, incluyendo al menos el banco Itaú (objetivo específico del secuestro de accesos directos).
• Distribución Geográfica: Exclusivamente Brasil, basado en el conjunto de instituciones objetivo y el enfoque regional del malware.

Impacto y Riesgo

• Nivel de Riesgo: Crítico para el sector financiero brasileño y los usuarios de Windows en el país.
• Impacto Potencial:
  • Robo Masivo de Credenciales Bancarias: Compromiso de cuentas de 33 entidades financieras, permitiendo a los atacantes realizar transferencias no autorizadas y robar fondos.
  • Pérdidas Económicas Directas: Para víctimas individuales y las propias instituciones financieras, que pueden enfrentar costos por reembolsos y fraudes.
  • Daño a la Reputación Bancaria: Erosión de la confianza de los clientes en la seguridad de la banca digital en Brasil.
  • Fraude Financiero a Gran Escala: Las credenciales robadas pueden ser utilizadas o vendidas en mercados clandestinos para cometer otros fraudes.
  • Evolución de Amenazas: El éxito de VENON en Rust podría inspirar a otros actores de amenazas a migrar su malware a este lenguaje, haciendo las detecciones futuras más difíciles a nivel global.

Recomendaciones de Mitigación

1. Entrenamiento y Concientización de Usuarios (M1017): Educar a los usuarios, especialmente en Brasil, sobre la técnica "ClickFix". Instruirles para que nunca ejecuten scripts o comandos (especialmente de PowerShell) proporcionados en ventanas emergentes o páginas web como "solución" a problemas falsos. Verificar siempre la fuente de cualquier instrucción que requiera pegar código en una terminal.
2. Restringir la Ejecución de PowerShell (M1038): Implementar políticas de AppLocker o Windows Defender Application Control (WDAC) para restringir la ejecución de PowerShell a administradores y escenarios específicos y aprobados. Habilitar la política de registro de bloques de scripts (Script Block Logging) y la protección antimalware del lenguaje (AMSI) para maximizar la visibilidad y prevención.
3. Protección en el Navegador y Contenido Web (M1021): Utilizar soluciones de filtrado web para bloquear el acceso a dominios conocidos de distribución de malware o a patrones de URL sospechosos. Configurar los navegadores para bloquear ventanas emergentes no solicitadas y contenido activo que intente imitar mensajes del sistema.
4. Habilitar Protección contra Manipulaciones (Tamper Protection) (M1040): Activar la protección contra manipulaciones en las soluciones de seguridad de los endpoints (como Microsoft Defender for Endpoint) para prevenir que el malware, como VENON, desactive herramientas de seguridad críticas como AMSI y ETW.
5. Monitoreo de Comportamiento en Endpoints (M1040): Desplegar soluciones EDR que monitoricen y alerten sobre comportamientos anómalos específicos de esta campaña, incluyendo: intentos de deshabilitar AMSI/ETW, ejecución de PowerShell que descarga archivos de internet, creación de tareas programadas sospechosas, conexiones WebSocket salientes inusuales, modificación de accesos directos (LNK) y procesos inyectando superposiciones en ventanas de aplicaciones bancarias.

Herramientas de Detección

• EDR / XDR: Soluciones como Microsoft Defender for Endpoint, CrowdStrike, SentinelOne pueden detectar las técnicas de evasión (bypass de AMSI/ETW), la carga lateral de DLL, la creación de tareas programadas y el comportamiento de inyección de superposiciones.
• SIEM: Correlacionar eventos de seguridad de Windows, como Event ID 4104 (Script Block Logging de PowerShell), Event ID 4688 (creación de procesos) con líneas de comando sospechosas, y Event ID 4698 (creación de tareas programadas), para identificar la cadena de infección.
• Monitorización de Integridad de Archivos (FIM): Implementar herramientas que supervisen y alerten sobre cambios no autorizados en archivos de acceso directo (.lnk), especialmente aquellos pertenecientes a aplicaciones bancarias como Itaú.
• Análisis de Tráfico de Red: Utilizar herramientas de inspección de red para identificar conexiones WebSocket a destinos no habituales y tráfico a servicios de almacenamiento en la nube (como Google Cloud Storage) para la descarga de archivos comprimidos.

Referencias y Fuentes

• Lakshmanan, R. (2026, Marzo 12). Malware VENON basado en Rust ataca a 33 bancos brasileños con superposiciones que roban credenciales. (The Hacker News / Artículo proporcionado por el usuario).
• ZenoX. (2026). Informe de Investigación sobre el Malware VENON. (Empresa brasileña de ciberseguridad, citada en el artículo).
• Blackpoint Cyber. (2026). Análisis de la campaña SORVEPOTEL y distribución de malware bancario. (Citado en el artículo).
• MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-13	1.0	Asistente de Seguridad	Creación inicial de la entrada basada en el informe de investigación sobre la campaña VENON.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Malware	VENON (troyano bancario escrito en Rust)
Alias de Desarrollador	byst4 (nombre de usuario en rutas de compilación: C:\Users\byst4...)
Número de Objetivos	33 instituciones financieras y plataformas de activos digitales brasileñas
Objetivo Específico (LNK Hijacking)	Aplicación bancaria Itaú
Técnica de Distribución Inicial	ClickFix (ingeniería social)
Método de Descarga	Script de PowerShell
Almacenamiento de Payload	Google Cloud Storage (URL específica)
Mecanismo de Persistencia	Tarea programada (Scheduled Task)
Protocolo de C2	WebSocket
Comportamiento Anómalo	Ejecución de PowerShell desde procesos de oficina o navegador para descargar archivos
Comportamiento Anómalo	Modificación de accesos directos (.lnk) de aplicaciones bancarias
Comportamiento Anómalo	Intentos de deshabilitar AMSI (Antimalware Scan Interface)
Comportamiento Anómalo	Intentos de deshabilitar ETW (Event Tracing for Windows)

Etiquetas / Categorías

malware troyano-bancario rust brasil windows clickfix phishing robo-credenciales carga-lateral-dll dll-sideloading websockets bypass-amsi bypass-etw cve-desconocido fintech ciberwiki zenox byst4