https://cyberveille.ch/tags/casbaneiro/ Recent content in Casbaneiro on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 03 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-03-ousaban-cible-les-utilisateurs-bancaires-en-espagne-et-au-portugal-via-geofencing-et-steganographie/ Fri, 03 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-03-ousaban-cible-les-utilisateurs-bancaires-en-espagne-et-au-portugal-via-geofencing-et-steganographie/ <h2 id="-contexte">🔍 Contexte</h2> <p>En mai 2026, <strong>FortiGuard Labs</strong> a identifié une campagne active du <strong>trojan bancaire Ousaban</strong> ciblant spécifiquement les utilisateurs en <strong>Espagne et au Portugal</strong>. L&rsquo;article, publié le 1er juillet 2026, constitue une analyse technique approfondie de cette campagne géolocalisée.</p> <h2 id="-vecteur-dinfection-et-chaîne-dattaque">🎯 Vecteur d&rsquo;infection et chaîne d&rsquo;attaque</h2> <p>La chaîne d&rsquo;attaque se déroule en plusieurs étapes :</p> <ul> <li><strong>PDF de phishing</strong> : déguisé en fichier corrompu, il incite la victime à cliquer sur un bouton « Atualizar » (Mettre à jour) via un message trompeur. Un code <strong>JavaScript hex-escapé</strong> redirige également vers la même page malveillante.</li> <li><strong>Page web malveillante</strong> : se fait passer pour une source légitime de documents fiscaux. Elle effectue des <strong>vérifications d&rsquo;environnement côté serveur</strong> (langue, fuseau horaire, IP, résolution d&rsquo;écran, rendu navigateur, énumération de polices) pour restreindre l&rsquo;accès aux seuls utilisateurs en Espagne et au Portugal. Les IP liées à des VPN sont bloquées.</li> <li><strong>Fichier VBS</strong> : téléchargé si l&rsquo;environnement passe la vérification. Il contient de nombreux appels de fonctions bénins pour masquer le code malveillant, puis télécharge une <strong>image stéganographique</strong> (ressemblant à une icône PDF) contenant un fichier ZIP avec le payload Ousaban.</li> <li><strong>Payload EXE</strong> : déposé dans <code>C:\SysMain_5874288</code> et exécuté. Les fichiers ZIP, image et VBS sont supprimés après exécution.</li> </ul> <h2 id="-comportement-dousaban">🦠 Comportement d&rsquo;Ousaban</h2> <ul> <li><strong>Persistance</strong> : création d&rsquo;une valeur de registre nommée <code>Financeiro</code> dans <code>CurrentVersion\Run</code></li> <li><strong>Marqueur d&rsquo;installation</strong> : création d&rsquo;un fichier vide <code>maisum.dat</code></li> <li><strong>Ciblage bancaire</strong> : déchiffrement de chaînes liées à des services bancaires pour surveiller l&rsquo;accès aux banques cibles</li> <li><strong>Algorithme de chiffrement custom</strong> : partagé avec d&rsquo;autres trojans bancaires latino-américains comme <strong>Casbaneiro</strong>, basé sur XOR avec offset aléatoire</li> <li><strong>Résolution C2 dynamique</strong> : utilisation de <strong>DDNS</strong> avec sous-domaines changeant quotidiennement (préfixe <code>aki</code> + 8 premiers caractères d&rsquo;un hash MD5 basé sur la date et une chaîne hardcodée). La date est obtenue en accédant à la page Google Automated Queries.</li> <li><strong>Leurre Pastebin</strong> : un lien Pastebin contenant une IP privée est déchiffré mais sert de leurre ; la vraie résolution C2 passe par les domaines DDNS.</li> <li><strong>Commandes C2</strong> : <code>#Convite#</code> (collecte d&rsquo;infos), <code>#Handle#</code> (ID victime), <code>#ON-LINE#</code> (heartbeat), <code>#xyScree#</code> (résolution écran), <code>#Iniciar#</code> (capture d&rsquo;écran, contrôle à distance, keylogger, injection clipboard)</li> </ul> <h2 id="-variantes-fin-2025">📅 Variantes fin 2025</h2> <p>Des variantes de fin 2025 utilisaient :</p>