Brasilianska banktrojaner byter distributionsmetod

En banktrojan som främst används i Brasilien har bytt ut sitt spel. Tidigare som huvudsakligen distribuerats genom pornografi har Trojan, som har flera olika namn, gjort det evolutionära steget att spridas genom nätfiskekampanjer.

Banktrojanen som riktar sig till offer i det sydamerikanska landet har kallats några olika saker av olika forskargrupper. Några av dessa namn inkluderar Ousaban och Javali. Det allmänna samförståndet är att samma Trojan har varit i omlopp sedan 2018.

Det distribuerades dock tidigare med pornografiska bilder. Det är därför en annan grupp forskare kallar skadlig programvara Ousaban - en portmanteau-term som kombinerar det portugisiska ordet för "djärvhet" och "bank".

Bank Trojan är märkligt skriven i Delphi - inte det vanligaste programmeringsspråket nuförtiden, men populärt bland malwareutvecklare i Sydamerika.

Förändringen i distributionsmetod för Ousaban är nyligen. Skadlig kod sprids nu med skadliga nätfiske-e-postmeddelanden. De ämnen som används för att få offren att öppna de skadliga bilagorna i phishing-posten brukar missbruka falska leveransaviseringar.

Bilagan är vanligtvis ett MSI-installationspaket. När MSI-installationsprogrammet körs distribuerar en JavaScript-nedladdare, som i sin tur tar tag i en arkivfil som innehåller en normal applikation.

Tricket är att skadlig kod också installerar den skadliga banktrojanen, med en teknik som kallas DLL-sidladdning. Det handlar om att plantera den skadliga nyttolasten, som sedan åberopas av en legitim applikation.

När det gäller funktionalitet har Ousaban allt som vanliga banktrojaner. Det kan logga tangenttryckningar, fånga skärmdumpar, exfiltrera användarinformation och simulera mus- och tangentbordsaktivitet.

Trojan använder skärmöverlagringar när användaren träffar en bankwebbplats och börjar ange autentiseringsuppgifter, vilket effektivt stjäl inloggningsinformationen. En skillnad som skiljer Ousaban från andra banktrojaner som används för sydamerikanska offer är dess förmåga att stjäla inloggningsuppgifter från e-postkonton också.

För att säkerställa uthållighet på det infekterade systemet skapar Trojan antingen en .lnk-genväg eller en VBS-laddare som placeras i systemets startkatalog. Fördunkning är också närvarande, med de skadliga nyttolasten som ibland når fantastiska 400 MB i storlek, bara på grund av den kraftiga förvirringen.

May 5, 2021

Cyclonis Backup

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.