Banking-Trojaner Ousaban nutzt gefälschte PDF-Kampagnen, um Banken in Spanien und Portugal anzugreifen

Sicherheitsforscher haben eine erneute Kampagne entdeckt, die den Banking-Trojaner Ousaban an Windows-Nutzer in Spanien und Portugal verteilt. Zum Einsatz kommen dabei Phishing-PDFs, die den Eindruck erwecken, beschädigt oder unvollständig zu sein. FortiGuard Labs von Fortinet erklärte, die Aktivitäten im Mai 2026 beobachtet zu haben, und wies darauf hin, dass die Angreifer mehrere Umgehungsebenen einsetzen, um die Malware vor Personen außerhalb ihrer Zielregion verborgen zu halten.

Ousaban, der seit Langem mit brasilianischen Banking-Malware-Aktivitäten in Verbindung gebracht wird, ist darauf ausgelegt, Finanzdaten zu stehlen und aktive Banking-Sitzungen zu kapern. Nach der Installation kann die Malware die Browseraktivität überwachen, Tastatureingaben und Screenshots erfassen, Inhalte der Zwischenablage verändern, gefälschte Eingabeaufforderungen anzeigen und dem Angreifer Fernzugriff ermöglichen. Die aktuelle Kampagne konzentriert sich auf mehr als zwei Dutzend Banken auf der Iberischen Halbinsel, darunter große Institute wie Banco Santander, BBVA, CaixaBank, Bankinter und Caixa Geral de Depósitos.

So funktioniert die Infektionskette

Der Angriff beginnt mit einem PDF-Anhang, in dem der Empfänger aufgefordert wird, auf eine „Aktualisieren“-Schaltfläche zu klicken, um eine angeblich beschädigte Datei anzuzeigen. Dadurch wird das Opfer auf eine schädliche Website weitergeleitet; in einigen Fällen enthält das PDF verstecktes JavaScript, das die Seite automatisch öffnet. Die Website gibt sich als Steuer- oder Dokumentenportal aus, prüft jedoch zunächst, ob sich der Besucher offenbar in Spanien oder Portugal befindet.

Frühere Versionen der Kampagne führten diese Filterung im Browser durch. Dabei wurden unter anderem IP-Adresse, Sprache, Zeitzone, Bildschirmeinstellungen und installierte Schriftarten überprüft; zugleich wurde versucht, VPN-Nutzer und automatisierte Analysetools zu blockieren. Fortinet zufolge verlagert die neueste Version diese Prüfungen auf den Server des Angreifers, wodurch die Filterlogik schwerer erkennbar ist. Allen, die den Test nicht bestehen, wird statt der Malware eine Meldung über den verweigerten Zugriff angezeigt.

• Ein heruntergeladenes Bild enthält ein verstecktes ZIP-Archiv, das den Trojaner enthält.
• Die Malware löscht das Bild, das Archiv und den Loader nach der Ausführung, um Spuren zu minimieren.
• Die Persistenz wird über einen Windows-Registry-Eintrag unter „Run“ mit dem Namen Financeiro eingerichtet.
• Die Command-and-Control-Adresse ändert sich täglich und wird mithilfe einer datumsbasierten Abfragemethode neu erstellt.

Fortinet brachte die Taktiken mit einem breiteren Muster in Verbindung, das auch bei anderen brasilianischen Banking-Trojanern beobachtet wurde. Dazu gehören Geofencing, getarnte Downloads und kurzlebige Infrastruktur. Für Verteidiger empfiehlt das Unternehmen, unerwartete PDF-Rechnungen, Steuerformulare und Aufforderungen zu „beschädigten Dateien“ mit Vorsicht zu behandeln, insbesondere wenn Nutzer zum Klicken oder Einfügen von Befehlen aufgefordert werden. Die Produkte von Fortinet erkennen die Samples; außerdem stellte das Unternehmen Indicators of Compromise zum Blockieren bereit.