Portugal: Fortinet alerta para “espião digital” de contas bancárias

Os investigadores da Fortinet alertam para uma nova campanha de cibercrime que está a atingir utilizadores de banca online em Portugal e Espanha. Em causa está o Ousaban, um trojan bancário que evoluiu significativamente e que combina técnicas avançadas de evasão, phishing e esteganografia.

Inicialmente associado a ataques no Brasil, o Ousaban alargou agora a sua atividade à Península Ibérica, tendo como alvo clientes de várias instituições bancárias portuguesas e espanholas.

Ataque começa com um simples PDF

Segundo a análise realizada pelo FortiGuard Labs, o centro de investigação e inteligência de ameaças da Fortinet, a campanha inicia-se com um email de phishing que inclui um ficheiro PDF aparentemente corrompido.

Ao abrir o documento, a vítima é convidada a clicar num botão de "Atualizar", sendo redirecionada para uma página fraudulenta que imita um portal legítimo de documentos fiscais ou de instalação de software.

Contudo, antes de disponibilizar qualquer ficheiro malicioso, essa página analisa cuidadosamente o ambiente do utilizador, verificando fatores como:

• Idioma do sistema;
• Fuso horário;
• Endereço IP;
• Outros indicadores do dispositivo.

Se o utilizador não estiver localizado em Portugal ou Espanha, o ataque é interrompido automaticamente. Esta técnica, conhecida como geofencing, permite aos atacantes reduzir a exposição da infraestrutura maliciosa e dificultar a sua deteção por investigadores.

Malware escondido dentro de uma imagem

Caso a vítima cumpra todos os critérios definidos pelos atacantes, é descarregado um ficheiro Visual Basic Script (VBS).

Esse script descarrega uma imagem aparentemente inofensiva, mas que esconde um ficheiro ZIP utilizando técnicas de esteganografia — um método que permite ocultar dados dentro de outros ficheiros sem levantar suspeitas.

Após ser extraído, esse ficheiro instala o trojan Ousaban e elimina diversos vestígios da infeção, dificultando futuras análises forenses.

Ousaban monitoriza sessões de banca online

Depois de instalado, o malware garante a sua persistência no sistema e permanece à espera de que a vítima aceda ao serviço de banca online.

Os investigadores identificaram referências a diversas instituições financeiras presentes em Portugal e Espanha, entre as quais:

• Caixa Geral de Depósitos;
• Millennium BCP;
• Banco BPI;
• Novobanco;
• Santander;
• BBVA;
• CaixaBank;
• Banco Sabadell.

Quando deteta o acesso a um destes serviços, o malware pode executar várias ações maliciosas.

O que consegue fazer este trojan?

Entre as capacidades identificadas encontram-se:

• Captura de ecrã;
• Controlo remoto do computador;
• Registo das teclas premidas (keylogging);
• Manipulação da área de transferência (clipboard);
• Apresentação de janelas falsas para recolha de credenciais e outras informações sensíveis.

As comunicações entre o malware e os servidores de comando e controlo (C2) são cifradas e recorrem a técnicas frequentemente utilizadas por trojans bancários originários da América Latina.

Além disso, os criminosos utilizam domínios gerados dinamicamente, que mudam diariamente, tornando muito mais difícil bloquear ou localizar a infraestrutura utilizada na campanha.

Como se proteger?

Embora esta campanha seja altamente sofisticada, continua a depender do mesmo ponto de entrada: o phishing.

Para reduzir o risco de infeção, os especialistas recomendam:

• Desconfiar de emails que solicitem a abertura de documentos ou atualizações;
• Nunca descarregar ficheiros provenientes de ligações suspeitas;
• Manter o sistema operativo e o software de segurança atualizados;
• Utilizar soluções antimalware capazes de detetar ameaças recentes;
• Confirmar sempre a autenticidade das páginas antes de introduzir credenciais bancárias.

A Fortinet afirma que os seus clientes já se encontram protegidos através dos serviços FortiGuard, incluindo mecanismos de deteção de malware, proteção contra phishing, antivírus, Content Disarm and Reconstruction (CDR), reputação de IP e proteção anti-botnet. Entretanto, a empresa continuará a acompanhar a evolução desta ameaça e a disponibilizar novas assinaturas de deteção sempre que necessário.