João Miguel Mesquita
O trojan bancário Ousaban, originário do Brasil, expandiu as suas operações para a Península Ibérica para atacar clientes de serviços financeiros. O alerta chega através de uma análise detalhada realizada pela equipa de investigação do FortiGuard Labs, que identificou uma evolução acentuada no comportamento e na sofisticação deste programa malicioso.
A operação inicia-se com uma armadilha comum, mas eficaz. As potenciais vítimas recebem um documento eletrónico em formato PDF que simula estar corrompido, apresentando um botão que incentiva a uma suposta atualização. Ao interagir com este elemento, o utilizador é redirecionado para uma página de internet fraudulenta concebida para imitar um portal legítimo de documentos fiscais ou de instalação de aplicações.
É nesta fase que entra em jogo o conceito de geofencing, ou filtragem geográfica. Os atacantes utilizam filtragem geográfica rigorosa para garantir que apenas utilizadores com endereços IP de Portugal e Espanha são afetados. O servidor analisa detalhadamente as configurações do visitante, incluindo o idioma do sistema, o fuso horário e a localização geográfica do acesso. Caso o utilizador se encontre fora do território ibérico, a ligação é imediatamente bloqueada, mitigando o risco de o malware ser intercetado e analisado por investigadores internacionais de segurança.
Se os parâmetros exigidos forem validados, o processo de infeção avança silenciosamente. A ameaça é distribuída através de ficheiros PDF falsos que induzem a vítima a descarregar um guião malicioso. Trata-se de um ficheiro de comandos escrito em linguagem Visual Basic que, após ser executado, descarrega uma imagem da internet.
A imagem esconde o programa prejudicial no seu interior através de esteganografia, que consiste no método de ocultar ficheiros cifrados dentro de ficheiros de imagem ou som aparentemente inofensivos. O malware utiliza a técnica de esteganografia para ocultar o seu código nocivo dentro de imagens legítimas. Uma vez extraído este pacote comprimido, o Ousaban instala-se no equipamento e elimina imediatamente quaisquer vestígios ou ficheiros temporários do processo de instalação para impedir futuras investigações forenses digitais.
Com a instalação concluída, o programa garante a sua persistência no sistema operativo e inicia uma vigilância ativa sobre os hábitos de navegação do utilizador. Uma vez ativo, o Ousaban consegue monitorizar a atividade dos utilizadores e obter o controlo remoto do sistema. As capacidades desenvolvidas pelos criadores deste programa cobrem um espectro alargado de intrusão, passando pela captura de ecrãs em tempo real, pelo registo de teclas premidas e pela manipulação da área de transferência de dados, vulgarmente conhecida como área de copiar e colar. Adicionalmente, o malware consegue injetar janelas e mensagens falsas que induzem os utilizadores a inserir credenciais confidenciais de acesso.
O leque de alvos na região ibérica engloba várias das principais marcas do panorama financeiro a operar em Portugal e Espanha, incluindo instituições de grande dimensão como o Santander, o BBVA, o CaixaBank, o Banco Sabadell, o Millennium BCP, a Caixa Geral de Depósitos, o Banco BPI e o Novobanco.
Para além de todas as barreiras de entrada, a infraestrutura que suporta o controlo do Ousaban recorre a uma lógica de comando e controlo altamente evasiva. A comunicação entre o computador infetado e os servidores dos atacantes é protegida por técnicas de cifragem complexas, partilhando padrões tecnológicos historicamente observados em ameaças bancárias na América Latina. O sistema utiliza algoritmos de geração de domínios que alteram diariamente os endereços de internet de contacto, tornando a infraestrutura dos cibercriminosos um alvo em constante mutação e extremamente complexo de rastrear.
A expansão deste tipo de ameaças e o aumento do seu refinamento técnico exigem uma atenção redobrada por parte dos responsáveis de TI e de segurança nas empresas. A defesa eficaz contra estas campanhas assenta na constante sensibilização dos colaboradores contra esquemas de engenharia social, na manutenção de sistemas atualizados e na adoção de ferramentas de segurança multicamada, as quais já integram regras específicas para mitigar atividades nocivas de campanhas deste género.
