Il trojan bancario Ousaban utilizza campagne con PDF falsi per colpire le banche in Spagna e Portogallo

I ricercatori di sicurezza hanno scoperto una nuova campagna che distribuisce il trojan bancario Ousaban agli utenti Windows in Spagna e Portogallo tramite PDF di phishing che imitano file danneggiati o incompleti. Fortinet’s FortiGuard Labs ha dichiarato di aver osservato l’attività nel maggio 2026 e ha evidenziato che gli aggressori utilizzano molteplici livelli di elusione per mantenere il malware nascosto a chiunque si trovi al di fuori della regione presa di mira.

Ousaban, da tempo associato alle operazioni di malware bancario brasiliane, è progettato per sottrarre credenziali finanziarie e dirottare sessioni bancarie attive. Una volta installato, può monitorare l’attività di navigazione, acquisire sequenze di tasti e schermate, alterare il contenuto degli appunti, mostrare richieste false e fornire accesso remoto all’aggressore. La campagna attuale prende di mira più di due dozzine di banche nella penisola iberica, tra cui importanti istituti come Banco Santander, BBVA, CaixaBank, Bankinter e Caixa Geral de Depósitos.

Come funziona la catena d’infezione

L’attacco inizia con un allegato PDF che invita il destinatario a fare clic su un pulsante “aggiorna” per visualizzare un file presumibilmente danneggiato. L’azione reindirizza la vittima a un sito web dannoso e, in alcuni casi, il PDF contiene JavaScript nascosto che apre automaticamente la pagina. Il sito si presenta come un portale fiscale o per documenti, ma prima verifica se il visitatore sembra trovarsi in Spagna o Portogallo.

Le versioni precedenti della campagna eseguivano questo filtraggio nel browser, verificando indicatori come indirizzo IP, lingua, fuso orario, impostazioni dello schermo e caratteri installati, tentando inoltre di bloccare gli utenti VPN e gli strumenti di analisi automatizzata. Fortinet afferma che la versione più recente sposta questi controlli sul server dell’aggressore, rendendo più difficile individuare la logica di screening. A chi non supera il test viene mostrato un messaggio di accesso negato invece del malware.

• Un’immagine scaricata contiene un archivio ZIP nascosto che trasporta il trojan.
• Il malware elimina l’immagine, l’archivio e il loader dopo l’esecuzione per ridurre le tracce.
• La persistenza viene ottenuta tramite una voce del Registro di sistema Windows denominata Financeiro.
• L’indirizzo di comando e controllo cambia ogni giorno e viene ricostruito utilizzando un metodo di ricerca basato sulla data.

Fortinet ha collegato queste tattiche a un modello più ampio osservato in altri trojan bancari brasiliani, compreso l’uso di geofencing, download camuffati e infrastrutture usa e getta. Per i responsabili della difesa, l’azienda raccomanda di trattare con cautela le fatture PDF, i moduli fiscali e le richieste di “file danneggiato” inattesi, soprattutto quando invitano gli utenti a fare clic o incollare comandi. I prodotti Fortinet rilevano i campioni e l’azienda ha fornito indicatori di compromissione per bloccarli.