Хакери внедряват банковия троянец Casbaneiro, който се активира, когато жертвите отворят уебсайтове на банки

Casbaneiro насочва атаките си към потребители на онлайн банкиране в Латинска Америка чрез фишинг съобщения, които изглеждат като спешни фактури или официални известия.

Кампанията използва персонализирани примамки под формата на PDF документи, за да подтикне получателите към верига за зловредно изтегляне, излагайки на риск данните от имейли, банковата активност и системните детайли.

Операцията, насочена към системи с Windows, е проектирана да остане незабелязана до най-критичния момент. След като подсигури присъствието си, тя чака жертвата да отвори целеви банков сайт, след което се свързва със своята командна инфраструктура и може да започне действия, предназначени да подпомогнат извършването на измама.

Изследователи от Fortinet идентифицираха тази активност през август 2026 г. и проследиха жертви в Аржентина, Перу, Колумбия и Мексико. Констатациите показват как регионалното филтриране, поетапното изтегляне и планираният мрежов трафик могат да направят банков троянски кон по-труден за засичане при рутинни проверки за сигурност.

Fortinet посочва в доклад, споделен с Cyber Security News (CSN), че кампанията изпраща открадната информация към отделни сървъри и използва нарочно очакван HTTP 403 отговор, за да обърка анализа.

Този подход създава риск извън рамките на един компрометиран акаунт, тъй като събраните контакти и имейл детайли могат да подпомогнат последващи атаки.

Hackers Deploy Casbaneiro Banking Trojan

Атаката започва с имейл и PDF файл, които създават усещане за спешност относно фактура или предполагаемо съдебно производство. Документите могат да показват имейл адреса на получателя – лесен трик, който увеличава достоверността.

Подобна измама се среща и в доклади за заплахи с използване на PDF като оръжие, където познат документ се превръща в първата стъпка към доставянето на зловреден код.

Връзка първо проверява IP адреса на посетителя. Посетителите извън избраните държави се пренасочват към легитимни сайтове като Google или YouTube, докато на целевите жертви се показва страница, която тихомълком изтегля Base64-кодиран ZIP архив.

Тази проверка на местоположението ограничава излагането на показ и намалява шанса изследователите да получат същото злонамерено съдържание.

Вътре в архива HTA файл извлича допълнително скриптово съдържание и проверява устройството за среди за анализ и одобрени езици на операционната система.

Ако системата премине проверката, тя изтегля отделно легитимен AutoIt интерпретатор, компилиран скрипт и компресиран компонент. Този поетапен подход наподобява моделите на доставка, описани при злоупотребата с зареждащи модули AutoIt, което може да помогне на зловредния код да скрие комбинираната си цел.

Зареждащият модул показва фалшив прозорец на системна услуга на Windows, извлича крайната програма и я инжектира в RegSvcs.exe или, ако той е недостъпен, в mobsync.exe.

Той също така създава пряк път в папката Startup за осигуряване на устойчивост. Тези стъпки могат да оставят инфектирания потребител без да подозира, че видимата подкана за услуга е декой, а не системна задача.

Data Theft and Evasion

След като се активира, Casbaneiro декриптира своята конфигурация, събира записи от адресната книга и данни за подателя и получателя от Outlook и предава информацията без криптиране.

Той изгражда идентификатор от името на компютъра, потребителското име и името на изпълнимия файл, след което използва хеш на тази стойност, за да следи активността и да избегне повторението на някои действия.

Троянският кон не използва веднага основния си команден канал. Той чака, докато жертвата посети един от целевите банкови уебсайтове, след което изпраща системна информация и приема команди за управление на клавиатурата, поставяне от клипборда, изпълнение на файлове и изпълнение на команди.

Функциите му за фалшиви прозорци също могат да бъдат насочени към определени банки, увеличавайки опасността по време на активна сесия за онлайн банкиране.

Втори сървър връща HTTP 403, когато получи Base64-кодирани данни от жертвата. Вместо да сигнализира за грешка, този отговор е част от процеса; всеки друг статус кара зловредния код да опита отново.

Кампанията също така изпраща различна информация до различни сървъри и използва деформирани HTTP заявки, което затруднява мрежовите разследвания. Поведението му, задействано от банкови сайтове, напомня за активността на банковия зловреден код Ousaban – друга кампания, която чака жертвите да отворят избрани банкови сайтове.

Организациите трябва да третират неочакваните PDF файлове с фактури и официални известия как подозрителни, да потвърждават заявките през отделен канал и да блокират изпълнението на изтеглени HTA файлове, където е възможно.

Екипите по сигурност трябва да следят за необичайна употреба на AutoIt, преки пътища в папката Startup, изходящ трафик, задействан от браузъра, и комуникация с отговор 403, изглеждаща като неуспешна.

Обучението на служителите и бързото докладване остават важни, особено за съобщения, проектирани да създават усещане за спешност. Читателите могат да прегледат тактиките в кампании с банкови троянски коне, за да разпознаят свързаните предупредителни знаци.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.