JanelaRAT : le malware bancaire qui frappe l'Amérique latine

Les institutions financières d'Amérique latine font face à une menace persistante et de plus en plus sophistiquée. Selon un rapport publié par The Hacker News le 14 avril, le JanelaRAT malware bancaire a été associé à 14 739 attaques recensées au Brésil et 11 695 au Mexique sur l'ensemble de l'année 2025. Variante évoluée du cheval de Troie BX RAT, ce code malveillant cible en priorité les identifiants bancaires, les données de cartes de paiement et les portefeuilles de cryptomonnaies. Ses opérateurs privilégient des chaînes d'infection furtives, s'appuyant sur des fichiers légitimes détournés et sur des serveurs de commande et de contrôle dynamiques afin de compliquer la détection. La campagne, encore active, illustre la professionnalisation des groupes cybercriminels lusophones et hispanophones, et impose aux banques comme à leurs clients une vigilance renforcée sur les canaux de distribution par phishing.

L'évolution technique est notable. Les opérateurs de JanelaRAT sont passés des scripts Visual Basic à des installeurs MSI depuis mai 2024, une transition qui leur permet d'exploiter le DLL side-loading pour installer le malware et de créer des raccourcis dans le dossier Startup de Windows pour assurer la persistance. Cette approche rend la détection plus difficile pour les solutions de sécurité traditionnelles, car les installeurs MSI sont considérés comme légitimes par de nombreux outils.

Ce qui s'est passé

JanelaRAT fonctionne selon un mécanisme ciblé particulièrement vicieux. Une fois installé, le malware établit une connexion TCP avec un serveur de commande et contrôle pour signaler l'infection. Il compare ensuite le titre de la fenêtre active à une liste codée en dur d'institutions financières. Lorsqu'une correspondance est détectée — par exemple quand la victime accède à son portail bancaire en ligne — le malware attend 12 secondes avant d'ouvrir un canal C2 dédié et d'exécuter les instructions reçues du serveur.

Cette variante représente un saut qualitatif par rapport aux versions précédentes. Elle combine plusieurs canaux de communication, une surveillance complète de la victime, des overlays interactifs pour capturer les identifiants, de l'injection d'entrées et des capacités de contrôle à distance robustes. Le malware est également capable de détecter la présence de logiciels anti-fraude et d'adapter son comportement en conséquence, ce qui complique considérablement le travail des équipes de défense contre les attaques sophistiquées.

Pourquoi c'est important

L'Amérique latine est devenue un terrain d'expérimentation privilégié pour les trojans bancaires. JanelaRAT s'inscrit dans une tendance plus large qui inclut VENON, Casbaneiro et Astaroth, tous ciblant la région. La sophistication croissante de ces malwares — DLL side-loading, détection anti-fraude, overlays dynamiques — illustre une professionnalisation des acteurs malveillants qui rivalisent avec les techniques observées dans les attaques supply chain visant l'Europe et l'Amérique du Nord. Pour les entreprises françaises présentes au Brésil et au Mexique, cette menace est directe : les filiales utilisant des services bancaires locaux sont des cibles potentielles. Les équipes sécurité doivent surveiller les connexions TCP suspectes et renforcer la détection des compromissions visant les services financiers.

Ce qu'il faut retenir

• JanelaRAT a ciblé plus de 26 000 victimes au Brésil et au Mexique en 2025, avec des techniques d'évasion avancées.
• Le passage aux installeurs MSI et au DLL side-loading rend la détection plus complexe pour les antivirus classiques.
• Les entreprises ayant des filiales en Amérique latine doivent renforcer la surveillance des accès bancaires et déployer des solutions EDR capables de détecter le side-loading.

JanelaRAT s'inscrit dans une longue tradition de malwares bancaires originaires du Brésil qui ont progressivement essaimé vers l'ensemble du sous-continent latino-américain. Depuis près d'une décennie, des familles comme Grandoreiro, Mekotio, Javali ou Casbaneiro — parfois regroupées sous l'appellation informelle de « Tetrade » par les chercheurs en threat intelligence — partagent un même schéma opératoire : des overlays bancaires qui imitent les portails légitimes, une distribution via des campagnes de phishing ciblé en portugais et en espagnol, et une capacité à survivre longtemps sous le radar des éditeurs antivirus locaux. Le passage de JanelaRAT du langage Visual Basic vers des installeurs MSI s'inscrit dans une tendance plus large observée en 2025 : plusieurs familles de chevaux de Troie bancaires latino-américains ont adopté simultanément des techniques de DLL side-loading abusant de binaires signés légitimes, une méthode initialement popularisée par des groupes APT étatiques avant d'être démocratisée auprès de la cybercriminalité financière.

L'écart entre les volumes observés au Brésil (14 739 cibles) et au Mexique (11 695 cibles) reflète la structure du marché bancaire numérique de chaque pays : le Brésil concentre à lui seul près de 40 % du trafic bancaire en ligne d'Amérique latine et sert historiquement de terrain d'expérimentation pour les opérateurs avant une extension régionale. Les chercheurs en cybersécurité qui suivent l'écosystème des malwares bancaires latino-américains soulignent que cette région constitue un laboratoire à ciel ouvert pour des techniques ensuite réutilisées contre des cibles européennes et nord-américaines — Grandoreiro a par exemple étendu ses campagnes à l'Espagne et au Portugal dès 2022 avant d'être visé par une opération coordonnée d'Interpol en 2024. La capacité de JanelaRAT à détecter les logiciels anti-fraude et à adapter dynamiquement son comportement traduit également une professionnalisation croissante : les opérateurs testent et itèrent leurs outils contre les principales solutions de sécurité bancaire du marché avant diffusion à grande échelle, un cycle de développement qui rapproche de plus en plus ces groupes cybercriminels de méthodologies proches de celles d'éditeurs de logiciels légitimes.