{"id":538,"date":"2026-04-13T20:57:44","date_gmt":"2026-04-13T20:57:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/13\/el-malware-janelarat-apunta-a-bancos-latinoamericanos-con-14-739-ataques-en-brasil-en-2025-cyberdefensa-mx\/"},"modified":"2026-04-13T20:57:44","modified_gmt":"2026-04-13T20:57:44","slug":"el-malware-janelarat-apunta-a-bancos-latinoamericanos-con-14-739-ataques-en-brasil-en-2025-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/13\/el-malware-janelarat-apunta-a-bancos-latinoamericanos-con-14-739-ataques-en-brasil-en-2025-cyberdefensa-mx\/","title":{"rendered":"El malware JanelaRAT apunta a bancos latinoamericanos con 14.739 ataques en Brasil en 2025 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los bancos e instituciones financieras de pa\u00edses latinoamericanos como Brasil y M\u00e9xico han seguido siendo el objetivo de una familia de malware llamada <strong>JanelaRAT<\/strong>.<\/p>\n<p>JanelaRAT, una versi\u00f3n modificada de BX RAT, es conocida por robar datos financieros y de criptomonedas asociados con entidades financieras espec\u00edficas, as\u00ed como por rastrear entradas del mouse, registrar pulsaciones de teclas, tomar capturas de pantalla y recopilar metadatos del sistema.<\/p>\n<p>\u00abUna de las diferencias clave entre estos troyanos es que JanelaRAT utiliza un mecanismo de detecci\u00f3n de barra de t\u00edtulo personalizado para identificar los sitios web deseados en los navegadores de las v\u00edctimas y realizar acciones maliciosas\u00bb, Kaspersky <a href=\"https:\/\/securelist.com\/janelarat-financial-threat-in-latin-america\/119332\/\">dicho<\/a> en un informe publicado hoy. \u00abLos actores de amenazas detr\u00e1s de las campa\u00f1as de JanelaRAT actualizan continuamente la cadena de infecci\u00f3n y las versiones del malware agregando nuevas funciones\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-risk-report-inside-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWajeG0cdaapf1GKTZRUZUB7BzuYGegyw5k0eAorJXlmkFdYCCeLXXhXYJuXU9lWD33rV6rRnIyly3czoNfYifpxk1eGA5slItPmim3HkubXoQMgC4J7hdQPywxGbWq7Eqeff_o6s2Fq-WmSFd5guwdLn7IqpveMqULqtVnd-ndnljWYGj45EkMFB7m0qm\/s728-e100\/z-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los datos de telemetr\u00eda recopilados por el proveedor ruso de ciberseguridad muestran que se registraron hasta 14.739 ataques en Brasil en 2025 y 11.695 en M\u00e9xico. Actualmente no se sabe cu\u00e1ntos de ellos resultaron en un compromiso exitoso.<\/p>\n<p>Detectado por primera vez en la naturaleza por Zscaler en junio de 2023, JanelaRAT aprovech\u00f3 archivos ZIP que contienen un script Visual Basic (VBScript) para descargar un segundo archivo ZIP, que, a su vez, viene con un ejecutable leg\u00edtimo y una carga \u00fatil DLL. La etapa final emplea la t\u00e9cnica de carga lateral de DLL para iniciar el troyano.<\/p>\n<p>En un an\u00e1lisis posterior publicado en julio de 2025, KPMG dijo que el malware se distribuye a trav\u00e9s de archivos de instalaci\u00f3n MSI falsos que se hacen pasar por software leg\u00edtimo alojado en plataformas confiables como GitLab. Los ataques relacionados con el malware se han centrado principalmente en Chile, Colombia y M\u00e9xico.<\/p>\n<p>\u00abTras la ejecuci\u00f3n, el instalador inicia un proceso de infecci\u00f3n de varias etapas utilizando scripts de orquestaci\u00f3n escritos en Go, PowerShell y por lotes\u00bb, KPMG <a href=\"https:\/\/assets.kpmg.com\/content\/dam\/kpmgsites\/in\/pdf\/2025\/07\/kpmg-ctip-janela-rat-22-jul-2025.pdf.coredownload.inline.pdf\">anotado<\/a> En el momento. \u00abEstos scripts descomprimen un archivo ZIP que contiene el ejecutable RAT, una extensi\u00f3n de navegador maliciosa basada en Chromium y componentes de soporte\u00bb.<\/p>\n<p>Los scripts tambi\u00e9n est\u00e1n dise\u00f1ados para identificar los navegadores basados \u200b\u200ben Chromium instalados y modificar sigilosamente sus par\u00e1metros de inicio (como el interruptor de l\u00ednea de comando \u00ab\u2013load-extension\u00bb) para instalar la extensi\u00f3n. Luego, el complemento del navegador procede a recopilar informaci\u00f3n del sistema, cookies, historial de navegaci\u00f3n, extensiones instaladas y metadatos de pesta\u00f1as, adem\u00e1s de activar acciones espec\u00edficas basadas en coincidencias de patrones de URL.<\/p>\n<p>La \u00faltima cadena de ataque documentada por Kaspersky muestra que los correos electr\u00f3nicos de phishing disfrazados de facturas pendientes se utilizan para enga\u00f1ar a los destinatarios para que descarguen un archivo PDF haciendo clic en un enlace, lo que resulta en la descarga de un archivo ZIP que inicia la cadena de ataque antes mencionada que involucra la carga lateral de DLL para instalar JanelaRAT.<\/p>\n<p>Al menos desde mayo de 2024, las campa\u00f1as de JanelaRAT han pasado de los scripts de Visual Basic a los instaladores MSI, que act\u00faan como un gotero para el malware mediante la carga lateral de DLL y establecen persistencia en el host mediante la creaci\u00f3n de un acceso directo de Windows (LNK) en la carpeta de Inicio que apunta al ejecutable.<\/p>\n<p>Tras su ejecuci\u00f3n, el malware establece comunicaciones con un servidor de comando y control (C2) a trav\u00e9s de un socket TCP para registrar una infecci\u00f3n exitosa y controla la actividad de la v\u00edctima para interceptar interacciones bancarias confidenciales. <\/p>\n<p>El objetivo principal de JanelaRAT es obtener el t\u00edtulo de la ventana activa y compararlo con una lista codificada de instituciones financieras. Si hay una coincidencia, el malware espera 12 segundos antes de abrir un canal C2 dedicado y ejecutar las tareas maliciosas recibidas del servidor. Algunos de los comandos admitidos incluyen:<\/p>\n<ul>\n<li>Env\u00edo de capturas de pantalla al servidor C2<\/li>\n<li>Recortar regiones espec\u00edficas de la pantalla y extraer im\u00e1genes<\/li>\n<li>Mostrar im\u00e1genes en modo de pantalla completa (por ejemplo, \u00abConfigurando actualizaciones de Windows, espere\u00bb) y hacerse pasar por cuadros de di\u00e1logo con temas bancarios mediante superposiciones falsas para recopilar credenciales<\/li>\n<li>Capturando pulsaciones de teclas<\/li>\n<li>Simular acciones del teclado como ABAJO, ARRIBA y TAB para navegaci\u00f3n<\/li>\n<li>Mover el cursor y simular clics<\/li>\n<li>Ejecutar un apagado forzado del sistema<\/li>\n<li>Ejecutar comandos usando \u00abcmd.exe\u00bb y comandos o scripts de PowerShell<\/li>\n<li>Manipular el Administrador de tareas de Windows para ocultar su ventana para que no sea detectada<\/li>\n<li>Se\u00f1alar la presencia de sistemas antifraude<\/li>\n<li>Env\u00edo de metadatos del sistema<\/li>\n<li>Detecci\u00f3n de sandbox y herramientas de automatizaci\u00f3n<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEl malware determina si la m\u00e1quina de la v\u00edctima ha estado inactiva durante m\u00e1s de 10 minutos calculando el tiempo transcurrido desde la \u00faltima entrada del usuario\u00bb, dijo Kaspersky. \u00abSi el per\u00edodo de inactividad supera los 10 minutos, el malware notifica al C2 enviando el mensaje correspondiente. Tras la actividad del usuario, notifica nuevamente al actor de la amenaza. Esto hace posible rastrear la presencia y la rutina del usuario para cronometrar posibles operaciones remotas\u00bb.<\/p>\n<p>\u00abEsta variante representa un avance significativo en las capacidades del actor, combinando m\u00faltiples canales de comunicaci\u00f3n, monitoreo integral de v\u00edctimas, superposiciones interactivas, inyecci\u00f3n de entrada y funciones robustas de control remoto. El malware est\u00e1 dise\u00f1ado espec\u00edficamente para minimizar la visibilidad del usuario y adaptar su comportamiento al detectar software antifraude\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los bancos e instituciones financieras de pa\u00edses latinoamericanos como Brasil y M\u00e9xico han seguido siendo el objetivo de una familia de malware llamada JanelaRAT. JanelaRAT, una versi\u00f3n modificada de BX RAT, es conocida por robar datos financieros y de criptomonedas asociados con entidades financieras espec\u00edficas, as\u00ed como por rastrear entradas del mouse, registrar pulsaciones de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":422,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,233,834,199,31,24,1767,1768,60],"class_list":["post-538","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-ataques","tag-bancos","tag-brasil","tag-con","tag-cyberdefensa-mx","tag-janelarat","tag-latinoamericanos","tag-malware"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/538","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=538"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/538\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/422"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=538"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=538"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=538"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}