Trojan ngân hàng Ousaban nhắm người dùng Tây Ban Nha và Bồ Đào Nha qua mồi nhử PDF giả
"Fortinet reports that the Ousaban banking trojan is targeting Windows users in Spain and Portugal through phishing PDFs that lure victims to a malicious site, then geofence the payload delivery to Iberian visitors. The malware steals banking credentials via screenshots, keylogging, clipboard tampering, and remote-control capability, while using steganography, daily-changing command infrastructure, and registry persistence to evade detection; no CVE is involved, and the primary mitigation is to block the campaign indicators and treat the lure documents as hostile."
Tác động cao do khả năng chiếm phiên ngân hàng và thu thập dữ liệu nhạy cảm qua screenshot/keylogging/clipboard; cơ chế geofencing làm giảm hiệu quả phân tích tự động và tăng khả năng lẩn tránh.
Rủi ro gian lận tài chính và gián đoạn vận hành do người dùng bị dẫn tới trang giả lập; cần tăng cường lọc email/tài liệu và rà soát dấu hiệu host để giảm thiệt hại.
FortiGuard Labs ghi nhận chiến dịch của Ousaban (còn được theo dõi là Javali) nhắm tới người dùng Windows tại Tây Ban Nha và Bồ Đào Nha. Kẻ tấn công sử dụng PDF lừa đảo được ngụy trang như tệp bị hỏng; tài liệu yêu cầu nạn nhân bấm “Atualizar” (Update) để mở một trang web độc hại.
Trước khi phân phối payload, trang web thực hiện kiểm tra địa lý (geofencing) để chỉ phục vụ đúng khách truy cập trong hai quốc gia này. Nền tảng này cũng có thể hiển thị thông báo “access denied” cho người dùng ngoài khu vực, khiến việc phân tích tự động từ sandbox chỉ tải được trang chặn thay vì mã độc.
Khi vượt qua kiểm tra, kịch bản tải một ảnh trông như biểu tượng PDF nhưng thực chất chứa ZIP ẩn bên trong bằng steganography. Sau đó, mã độc được giải nén, chạy và tự dọn dẹp (xóa ảnh, ZIP và thành phần tải). Ousaban thiết lập persistency bằng khóa registry khởi động với tên Financeiro, đồng thời hỗ trợ chiếm phiên ngân hàng thông qua chụp màn hình, keylogging, can thiệp clipboard, hiển thị thông báo giả và điều khiển từ xa.
Khuyến nghị: coi mọi tài liệu PDF/email yêu cầu bấm “Update” hoặc thao tác tương tự là tác nhân lừa đảo; chặn theo domain/IP/hash do báo cáo cung cấp và rà soát dấu hiệu như Run key “Financeiro” và tệp rơi tại C:\SysMain_5874288.