Método de distribución de conmutadores troyanos bancarios brasileños
Un troyano bancario utilizado principalmente en Brasil ha cambiado su juego. Anteriormente distribuido principalmente a través de la pornografía, el troyano, que tiene varios nombres diferentes, ha dado el paso evolutivo para propagarse a través de campañas de correo electrónico de phishing.
El troyano bancario dirigido a víctimas con sede en el país sudamericano ha sido llamado de diferentes formas por diferentes grupos de investigación. Algunos de esos nombres incluyen Ousaban y Javali. El consenso general es que el mismo troyano ha estado en circulación desde 2018.
Sin embargo, anteriormente se distribuía utilizando imágenes pornográficas. Esta es la razón por la que otro grupo de investigadores llama al malware Ousaban, un término abreviado que combina la palabra portuguesa para "audacia" y "banca".
El troyano bancario está curiosamente escrito en Delphi; no es el lenguaje de programación más común en la actualidad, pero es popular entre los desarrolladores de malware en América del Sur.
El cambio en el método de distribución de Ousaban es reciente. El malware ahora se propaga mediante correos electrónicos de phishing maliciosos. Los temas que se utilizan para convencer a las víctimas de que abran los archivos adjuntos maliciosos en el correo de phishing suelen abusar de las notificaciones de entrega falsas.
El archivo adjunto suele ser un paquete de instalación de MSI. Cuando se ejecuta, el instalador de MSI implementa un descargador de JavaScript, que a su vez toma un archivo que contiene una aplicación normal.
El truco es que el malware también instala el troyano bancario malicioso, utilizando una técnica llamada DLL side-loading. Implica plantar la carga útil maliciosa, que luego es invocada por una aplicación legítima.
En términos de funcionalidad, Ousaban tiene todas las características de los troyanos bancarios habituales. Puede registrar pulsaciones de teclas, capturar capturas de pantalla, extraer información del usuario y simular la actividad del mouse y el teclado.
El troyano utiliza superposiciones de pantalla cuando el usuario accede a un sitio web bancario y comienza a ingresar credenciales, robando efectivamente la información de inicio de sesión. Una diferencia que distingue a Ousaban de otros troyanos bancarios utilizados en víctimas sudamericanas es su capacidad para robar también las credenciales de inicio de sesión de las cuentas de correo electrónico.
Para garantizar la persistencia en el sistema infectado, el troyano crea un acceso directo .lnk o un cargador VBS que se ubican dentro del directorio de inicio del sistema. La ofuscación también está presente, y las cargas útiles maliciosas a veces alcanzan un tamaño fantástico de 400 MB, solo debido a la gran ofuscación.
