De acuerdo con la telemetría de ESET, Ousaban está activo por el momento solamente en Brasil, aunque algunas fuentes lo sitúan ya en Europa. Este malware busca robar credenciales de entidades financieras y, al contrario que otros troyanos latinoamericanos, también pretende robar el acceso a servicios de correo electrónico. ESET ha denominado a este malware Ousaban uniendo los inicios de las palabras Ousadia (atrevimiento en portugués) y troyano bancario, ya que se trata de una campaña que utiliza imágenes muy atrevidas como vector de distribución.
ESET lleva siguiendo a esta familia de malware desde 2018. Las capacidades de backdoor de Ousaban son muy parecidas a las de cualquier otro troyano bancario latinoamericano: simulan las pulsaciones de teclado, los movimientos de ratón y los patrones de acceso. Ousaban, también como otros troyanos bancarios latinoamericanos, ataca a los usuarios de entidades financieras mostrando ventanas diseñadas específicamente para sus víctimas. Sin embargo, al contrario que otros troyanos similares, los objetivos de Ousaban incluyen también servicios de correo electrónico.
“Ousaban se distribuye sobre todo a través de phishing, utilizando una cadena de distribución muy sencilla. La víctima es engañada para que ejecute un archivo MSI Soucek, coordinador del equipo de ESET que ha investigado Ousaban adjunto en el correo usado como gancho”, afirma Jakub. “Cuando se ejecuta, el MSI lanza un JavaScript incrustado que descarga un archivo comprimido en ZIP desde el que se extraen los contenidos: una aplicación legítima, un inyector y el malware Ousaban cifrado. Utilizando la técnica de carga lateral de DLLs, el troyano de descifra y se ejecuta”.
Desde ESET se resalta que Ousaban cuenta con un mecanismo de persistencia muy interesante: “Ousaban crea un archivo LNK o un sencillo loader VBS en la carpeta de inicio o modifica la clave de registro de Windows”, explica Soucek. “Además, el malware protege sus archivos ejecutables con ofuscadores binarios y agranda los archivos EXE hasta los 400MB con el objetivo de evadir la detección y el proceso automatizado”.
