Brasilianska banktrojaner byter distributionsmetod

En banktrojan som främst används i Brasilien har bytt ut sitt spel. Tidigare som huvudsakligen distribuerats genom pornografi har Trojan, som har flera olika namn, gjort det evolutionära steget att spridas genom nätfiskekampanjer.

Banktrojanen som riktar sig till offer i det sydamerikanska landet har kallats några olika saker av olika forskargrupper. Några av dessa namn inkluderar Ousaban och Javali. Det allmänna samförståndet är att samma Trojan har varit i omlopp sedan 2018.

Det distribuerades dock tidigare med pornografiska bilder. Det är därför en annan grupp forskare kallar skadlig programvara Ousaban - en portmanteau-term som kombinerar det portugisiska ordet för "djärvhet" och "bank".

Bank Trojan är märkligt skriven i Delphi - inte det vanligaste programmeringsspråket nuförtiden, men populärt bland malwareutvecklare i Sydamerika.

Förändringen i distributionsmetod för Ousaban är nyligen. Skadlig kod sprids nu med skadliga nätfiske-e-postmeddelanden. De ämnen som används för att få offren att öppna de skadliga bilagorna i phishing-posten brukar missbruka falska leveransaviseringar.

Bilagan är vanligtvis ett MSI-installationspaket. När MSI-installationsprogrammet körs distribuerar en JavaScript-nedladdare, som i sin tur tar tag i en arkivfil som innehåller en normal applikation.

Tricket är att skadlig kod också installerar den skadliga banktrojanen, med en teknik som kallas DLL-sidladdning. Det handlar om att plantera den skadliga nyttolasten, som sedan åberopas av en legitim applikation.

När det gäller funktionalitet har Ousaban allt som vanliga banktrojaner. Det kan logga tangenttryckningar, fånga skärmdumpar, exfiltrera användarinformation och simulera mus- och tangentbordsaktivitet.

Trojan använder skärmöverlagringar när användaren träffar en bankwebbplats och börjar ange autentiseringsuppgifter, vilket effektivt stjäl inloggningsinformationen. En skillnad som skiljer Ousaban från andra banktrojaner som används för sydamerikanska offer är dess förmåga att stjäla inloggningsuppgifter från e-postkonton också.

För att säkerställa uthållighet på det infekterade systemet skapar Trojan antingen en .lnk-genväg eller en VBS-laddare som placeras i systemets startkatalog. Fördunkning är också närvarande, med de skadliga nyttolasten som ibland når fantastiska 400 MB i storlek, bara på grund av den kraftiga förvirringen.