Ousaban/Javali: a reaparição do troiano bancário que rouba sessões ao vivo em Espanha e Portugal

A reincidência do troiano bancário Ousaban, também conhecido como Javali, em campanhas direcionadas a usuários do Windows em Espanha e Portugal confirma que o velho playbook do crime financeiro continua sendo eficaz quando combinado com técnicas de sigilo modernas. Fortinet detectou a campanha em maio de 2026 e descreve uma cadeia de infecção compacta: um PDF que finge estar corrupto, uma verificação geográfica que separa vítimas reais do ruído e um arquivo malicioso camuflado dentro de uma imagem com aparência de ícone PDF. O objetivo não mudou: roubar credenciais bancárias e sequestrar sessões ao vivo. Para o usuário final isso significa que uma simples fatura ou um aviso fiscal inesperado pode bastar para perder acesso a uma conta se a guarda for baixa.

A sofisticação operacional está nos detalhes: a campanha aplica geofencing e criado avançado para mostrar o malware apenas a visitantes em Espanha ou Portugal, e tem movido boa parte dessa lógica ao servidor do atacante para que as regras exatas fiquem escondidas. Além disso, usa esteganografia para esconder um ZIP dentro de uma imagem e uma rotina que apaga impressões após executar o troiano. Estas técnicas reduzem a probabilidade de detecção por sandboxes automáticos e de captura de indicadores estáticos. A consequência técnica é clara: bloquear um domínio conhecido pode não ser suficiente porque a infraestrutura de controle muda com frequência e alguns indicadores publicados por analistas podem ser endereços señuelo.

Ousaban opera em modo paciente: instala-se como persistência no Windows — lançando uma entrada de registro chamada Financeiro — e espera que o usuário visite um dos bancos na sua lista de vigilância (mais de duas dúzias entre Espanha e Portugal, incluindo grandes nomes como Santander, BBVA ou CaixaBank). Quando você detecta a carga de uma web bancária, você pode capturar ecrãs, registrar cliques, manipular a área de transferência, mostrar mensagens falsas e fornecer controle remoto ao atacante. Com este conjunto de capacidades, é possível sequestrar uma sessão de banca online em tempo real e aprovar transferências.

Este caso se encaixa em uma tendência conhecida: famílias de troianos brasileiras — a chamada "Tetrade" que inclui Grandoreiro, Guildma e Melcoz— têm ido migrando e adaptando técnicas entre elas. A resistência e reciclagem de infra-estruturas maliciosas ficou patente quando Grandoreiro voltou após uma operação coordenada em 2024. Kaspersky e outros laboratórios há anos documentando este movimento e o intercâmbio de código entre famílias; conhecer essas relações ajuda a antecipar táticas futuras e priorizar defesas.

Do ponto de vista defensivo há várias implicações práticas. Primeiro, a detecção apenas através de detonação de ligações em portas de ligação pode falhar: o cribado server-side devolve uma página de "acesso negado" aos ambientes automatizados. Segundo, a rotação diária de endereços de comando e controle complica os bloqueios a longo prazo. Terceiro, o uso de serviços públicos (Pastebin, Google Docs) para ocultar configurações obriga a monitorar comportamentos e não apenas domínios conhecidos. Portanto, as estratégias devem combinar filtragem pró-ativa de correio, detecção baseada em comportamento e telemetria de endpoints em ambientes reais.

Para usuários e empresas, a primeira linha de defesa é a prevenção no e-mail: tratar como suspeitos os PDFs que dizem estar corruptos, os anexos de fatura inesperados e qualquer instrução que peça carregar num botão "Atualizar" ou colar comandos numa consola para "arreglar um erro". Também é crítico educar os clientes bancários para que não peguem comandos ou executem arquivos por indicações aparecidas em páginas duvidosas. A higiene básica — não abrir anexos inesperados, validar por outra via os avisos e manter o Windows e o antivírus atualizados — continua a ser a medida mais eficaz.

Para equipamentos de segurança e prestadores de serviços geridos, convém adaptar os sandboxes e a resposta artificial de forma a reproduzir condições reais de vítimas em Espanha e Portugal (zona horária, língua, tamanho de ecrã, fontes instaladas); além disso, devem ser instrumentadas regras que detectem indicadores de persistência como a chave de registo Financeiro ou presença de arquivos em rotas como C:\\SysMain_5874288. Fortinet, que detectou a campanha, publica análise e assinaturas em seu blog de pesquisa; revisar e aplicar essas IOCs e assinaturas é um passo prático para defesa operacional: Fortinet Threat Research.

Os bancos e as instituições financeiras devem utilizar controlos complementares: a instalação de autenticação multifator robusta (preferivelmente baseada em hardware ou aplicativos com token), as medidas de assinatura de transações fora da sessão do navegador e os sistemas de detecção de fraude que monitorizem mudanças de dispositivo ou comportamentos anormais ao aprovar operações. Um esquema de controle em várias camadas aumenta a fricção para o atacante e reduz a probabilidade de fraude bem-sucedida mesmo se o malware rouba credenciais.

No plano da resposta legal e de cooperação, a dispersão diária de infraestrutura e o uso de serviços públicos para ocultar dificultam as ordens de bloqueio e as tomadas de domínio. Por isso é essencial a colaboração entre bancos, empresas de cibersegurança e forças de segurança para compartilhar padrões de conduta e IOCs relevantes, e para coordenar ações que interrompem cadeias de distribuição. A experiência de takedowns anteriores mostra que a interrupção pode ser temporária se as capacidades dos operadores não forem atacadas para reciclar domínios e serviços.

Em resumo: Ousaban não inventa novas capacidades, mas sim demonstra que a combinação de engenharia social precisa, cribado geográfico e técnicas de ocultação eficazes ainda é muito perigosa. Usuários em Espanha e Portugal devem assumir que documentos fiscais ou facturas inesperadas podem ser armadilhas e agir com precaução; os defensores devem ampliar sua abordagem para além do bloqueio de domínios e fortalecer a detecção baseada em comportamento e a resposta coordenada. Para guias práticas sobre prevenção de phishing e melhoria da higiene digital, consultar a documentação de resposta e consciência em organismos e laboratórios de referência como CISA e blogs técnicos dos provedores de segurança citados acima.