Uma nova campanha de malware focada em usuários de bancos online na América Latina tem sido identificada por pesquisadores da Fortinet. O Trojan Casbaneiro utiliza mensagens de phishing que se passam por faturas urgentes ou notificações legais para induzir as vítimas a baixar arquivos PDF maliciosos. A operação é direcionada para Windows e projetada para permanecer silenciosa até que seja mais relevante para o ataque.
Vetor de ataque e distribuição
A campanha começa com um e-mail e um PDF que cria urgência em torno de uma fatura ou suposto processo legal. Os documentos podem exibir o endereço de e-mail do destinatário, um truque simples que adiciona credibilidade. Um link verifica primeiro o endereço IP do visitante. Visitantes fora dos países selecionados são redirecionados para sites legítimos, como Google ou YouTube, enquanto os alvos são servidos uma página que baixa silenciosamente um arquivo ZIP codificado em Base64.
Essa verificação de localização limita a exposição e reduz a chance de que pesquisadores recebam o mesmo conteúdo malicioso. Dentro do arquivo, um arquivo HTA busca mais conteúdo de script e verifica o dispositivo para ambientes de análise e idiomas de sistema operacional aprovados. Se o sistema passar, ele baixa um interpretador AutoIt legítimo, um script compilado e um componente compactado separadamente.
Comportamento do malware e persistência
O loader mostra uma janela de serviço falso do Windows, extrai o programa final e injeta-o no RegSvcs.exe ou, quando indisponível, no mobsync.exe. Ele também cria um atalho de inicialização para persistência. Esses passos podem deixar um usuário infectado sem saber que o prompt de serviço visível é um isco, e não uma tarefa do sistema.
Uma vez ativo, o Casbaneiro decodifica sua configuração, coleta entradas de livro de endereços e detalhes de remetente e destinatário do Outlook, e transmite as informações sem criptografia. O Trojan não usa imediatamente seu canal principal de comando. Ele espera até que a vítima visite um dos sites de banco alvo, depois envia informações do sistema e aceita comandos para controle de teclado, colar da área de transferência, execução de arquivos e execução de comando.
Indicadores de comprometimento (IoCs)
Os pesquisadores identificaram diversos indicadores de comprometimento que podem ser usados para detecção em SIEMs e plataformas de inteligência de ameaças. Entre eles estão hashes SHA-256 de arquivos PDF maliciosos, arquivos HTA, scripts AutoIt e endereços de criptomoeda embutidos. Os domínios de infraestrutura da campanha incluem variações de secureserver.net e outros domínios suspeitos.
As organizações devem tratar PDFs inesperados de fatura e aviso legal como suspeitos, verificar solicitações por um canal separado e bloquear a execução de arquivos HTA baixados sempre que possível. As equipes de segurança devem monitorar o uso incomum do AutoIt, atalhos da pasta de inicialização, tráfego de saída acionado pelo navegador e comunicações 403 que parecem falhas.
Implicações para a segurança corporativa
A abordagem cria um risco além de uma conta comprometida, porque contatos e detalhes de e-mail colhidos podem apoiar ataques posteriores. A campanha também envia informações diferentes para servidores diferentes e usa solicitações HTTP malformadas, complicando as investigações de rede. O comportamento acionado por banco ecoa a atividade do malware bancário Ousaban, outra campanha que espera que as vítimas abram sites bancários selecionados.
O que fazer agora
Equipes de resposta a incidentes devem isolar o dispositivo, preservar evidências, redefinir credenciais expostas de um sistema limpo e conduzir uma revisão completa antes de retorná-lo ao uso. O treinamento de funcionários e o relatório rápido permanecem importantes, especialmente para mensagens projetadas para criar urgência.