基于 Rust 的 VENON 恶意软件通过窃取凭据技术攻击 33 家巴西银行

HackerNews 编译，转载请注明出处：

网络安全研究人员披露了一款针对巴西用户的新型银行恶意软件的详细信息，该软件用 Rust 编写，与拉丁美洲网络犯罪生态系统中其他已知的基于 Delphi 的恶意软件家族存在显著差异。

这款旨在感染 Windows 系统的恶意软件于上月首次被发现，巴西网络安全公司 ZenoX 将其代号命名为 VENON。

VENON 的特别之处在于，它与针对该地区的成熟银行木马（如 Grandoreiro、Mekotio 和 Coyote）具有一致的行为，特别是在银行覆盖层逻辑、活动窗口监控和快捷方式（LNK）劫持机制等功能方面。

该恶意软件尚未被归因于任何此前记录的组织或活动。然而，可追溯至 2026 年 1 月的早期版本样本被发现暴露了恶意软件作者开发环境的完整路径。这些路径反复引用 Windows 机器用户名 “byst4”（例如 “C:\Users\byst4...”）。

ZenoX 表示：“Rust 代码结构呈现出的模式表明，开发者熟悉现有拉丁美洲银行木马的功能，但使用生成式 AI 在 Rust 中重写并扩展了这些功能 —— 要达到所观察到的复杂程度，使用 Rust 需要丰富的技术经验。”

VENON 通过复杂的感染链传播，利用 DLL 侧加载技术启动恶意 DLL。据推测，该活动利用 ClickFix 等社会工程策略，诱骗用户通过 PowerShell 脚本下载包含载荷的 ZIP 压缩包。

DLL 执行后，会在实际发起任何恶意操作前执行九种规避技术，包括反沙箱检查、间接系统调用、ETW 绕过、AMSI 绕过。它还会访问 Google Cloud Storage URL 以获取配置、安装计划任务，并与命令与控制（C2）服务器建立 WebSocket 连接。

从 DLL 中还提取出两个 Visual Basic Script 代码块，它们实现了专门针对 Itaú 银行应用的快捷方式劫持机制。这些组件通过将合法系统快捷方式替换为篡改版本来运作，将受害者重定向至威胁行为者控制的网页。

该攻击还支持卸载步骤以撤销修改，表明操作者可远程控制该活动，将快捷方式恢复至原始状态以掩盖痕迹。

总体而言，这款银行恶意软件通过监控窗口标题和活动浏览器域名，针对 33 家金融机构和数字资产平台，仅在任何目标应用或网站被打开时才会启动，通过提供虚假覆盖层来窃取凭据。

此次披露之际，威胁行为者正利用 WhatsApp 在巴西的普及性，通过该消息平台的桌面网页版分发名为 SORVEPOTEL 的蠕虫。该攻击依赖滥用此前已认证的聊天，直接向受害者发送恶意诱饵，最终导致部署 Maverick、Casbaneiro 或 Astaroth 等银行恶意软件。

Blackpoint Cyber 表示：“通过被劫持的 SORVEPOTEL 会话发送的一条 WhatsApp 消息，就足以将受害者引入多阶段链路，最终导致 Astaroth 植入程序完全在内存中运行。”

“本地自动化工具、无监督浏览器驱动程序和用户可写运行时的结合，创造了一个异常宽松的环境，使蠕虫和最终载荷都能以最小阻力建立自身。”

消息来源：thehackernews.com；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文