Ousaban, un troyano bancario que usa imágenes pornográficas como gancho

  • Endpoint

Este malware ataca a los usuarios de entidades financieras mostrando ventanas diseñadas específicamente para sus víctimas, con el fin de robar credenciales y el acceso a servicios de correo electrónico. Ousaban está activo en Brasil, aunque algunas fuentes lo sitúan ya en Europa.

Recomendados: 

7 consejos para proteger los datos de tu empresa y vencer al ransomware Leer

Anatomía del ataque a una cuenta privilegiada Leer

Los troyanos bancarios procedentes de Latinoamérica siguen en aumento. En esta ocasión, ESET, ha descubierto Ousaban, también conocido como Javali, un malware que busca robar credenciales de entidades financieras y que, al contrario que otros troyanos latinoamericanos, también pretende robar el acceso a servicios de correo electrónico. De acuerdo con la telemetría de ESET, Ousaban está activo por el momento solamente en Brasil, aunque algunas fuentes lo sitúan ya en Europa.

ESET lleva siguiendo a esta familia de malware desde 2018. Las capacidades de backdoor de Ousaban son muy parecidas a las de cualquier otro troyano bancario latinoamericano: simulan las pulsaciones de teclado, los movimientos de ratón y los patrones de acceso. Ousaban ataca a los usuarios de entidades financieras mostrando ventanas diseñadas específicamente para sus víctimas.

“Ousaban se distribuye sobre todo a través de phishing, utilizando una cadena de distribución muy sencilla. La víctima es engañada para que ejecute un archivo MSI adjunto en el correo usado como gancho”, afirma Jakub Soucek, coordinador del equipo de ESET que ha investigado Ousaban. “Cuando se ejecuta, el MSI lanza un JavaScript incrustado que descarga un archivo comprimido en ZIP desde el que se extraen los contenidos: una aplicación legítima, un inyector y el malware Ousaban cifrado. Utilizando la técnica de carga lateral de DLLs, el troyano de descifra y se ejecuta”.

Como mecanismo de persistencia, Ousaban crea un archivo LNK o un loader VBS en la carpeta de inicio o modifica la clave de registro de Windows. Además, el malware protege sus archivos ejecutables con ofuscadores binarios y agranda los archivos EXE hasta los 400MB con el objetivo de evadir la detección y el proceso automatizado.