Malware escrito en Rust: qué cambia para quien defiende

Si Rust vuelve más fiable el software de quien defiende, también vuelve más fiable el de quien ataca. Desde 2021, grupos criminales y estatales escriben malware en Rust. No es una moda pasajera: aparecen familias nuevas cada año.

Esta nota explica qué cambia para quien defiende. No incluye detalles operativos.

Cinco años de casos

Algunos casos que marcaron el camino:

• BlackCat (2021). Microsoft lo describe como una de las primeras familias de ransomware escritas en Rust, capaz de atacar Windows, Linux y servidores VMware.
• Hive (2022). Pasó de Go a Rust. Microsoft enumeró sus razones: seguridad de memoria, concurrencia para cifrar rápido y buenas librerías criptográficas.
• RustBucket (2023). Un ataque a macOS que Elastic atribuye al grupo norcoreano Lazarus.
• Akira «Megazord» (2023). Una variante en Rust de uno de los ransomware más activos. La CISA estima que Akira obtuvo unos 244 millones de dólares hasta septiembre de 2025.
• Kimsuky (2026). Otro grupo norcoreano estrenó su primera variante en Rust, con comentarios en el código que parecen generados por IA.

Por qué lo eligen

Las razones que citan los propios analistas son tres:

1. Un código, muchos sistemas. Con el mismo código fuente se compila para Windows, Linux y servidores de virtualización, como documentó Kaspersky con Luna.
2. Velocidad. Cifrar miles de archivos en paralelo es justo lo que Rust hace bien.
3. Romper las firmas existentes. Al reescribir un malware conocido en otro lenguaje, las detecciones basadas en el binario anterior dejan de servir. Proofpoint lo señaló en 2021 con RustyBuer, una versión reescrita de un cargador escrito en C.

Por qué cuesta analizarlo

Las herramientas de análisis crecieron leyendo programas en C y C++. Un binario de Rust les resulta extraño:

Microsoft dio un ejemplo claro: en una prueba, un programa sencillo en Rust ocupó más de 3 MB y tenía casi 10 000 funciones, frente a menos de 20 KB y menos de 100 funciones en C++. Antes de entender al atacante, el analista debe descartar miles de funciones ajenas.

Los defensores se ponen al día

La brecha se está cerrando:

• Ghidra, la herramienta de la NSA, añadió soporte inicial para Rust en su versión 11.0, en 2023.
• Hex-Rays, creadores de IDA, presentó un módulo para Rust ese mismo año.
• Microsoft liberó en 2025 RIFT, que identifica el compilador y las librerías usadas para separar lo ajeno de lo propio.
• Oxidizer, un descompilador académico presentado en IEEE S&P 2026, mejora mucho la lectura de binarios de Rust:

Con Oxidizer, los analistas acertaron un 28 % más y terminaron un 20 % antes. Es un prototipo de investigación, no una herramienta comercial, pero muestra hacia dónde va el análisis.

Qué significa para tu equipo

• El lenguaje no define la amenaza. Lo que detecta un ataque es el comportamiento: cifrado masivo, movimiento lateral, conexiones extrañas. Eso no cambia con Rust.
• Pide herramientas actualizadas. Si tu equipo analiza binarios, verifica que use versiones recientes de Ghidra o IDA, y conozca RIFT.
• No es un argumento contra Rust. Los atacantes también usan C, Go y Python. Que el malware use Rust confirma lo que ya sabíamos: produce software rápido, portable y difícil de romper.
• Tampoco es una tendencia medible todavía. No hay cifras confiables de qué parte del malware nuevo está en Rust, y algunas variantes, como Megazord, ya dejaron de usarse.

Para entender qué protege y qué no protege Rust, lee qué es la seguridad de memoria y qué significa unsafe.