Se ha detectado una nueva campaña de malware llamada Ousaban que está secuestrando sesiones de banca en línea en España y Portugal. El ataque comienza mediante el envío de archivos PDF corruptos diseñados para engañar a usuarios de Windows y robar su información bancaria.

Una campaña recién documentada está secuestrando silenciosamente sesiones de banca en línea en toda España y Portugal, y comienza con algo tan común como un archivo PDF corrupto.

El malware detrás de esto, conocido como Ousaban, ha resurgido con un nuevo conjunto de trucos dirigidos específicamente a los clientes de bancos ibéricos que utilizan máquinas Windows.

La infección comienza cuando una víctima abre un PDF de phishing que afirma estar corrupto. Insta al lector a hacer clic en un botón de "Atualizar" o "Actualizar", el cual abre silenciosamente una página web maliciosa disfrazada de un portal de impuestos gubernamental.

Desde allí, la página verifica si el visitante se encuentra realmente en España o Portugal antes de continuar con el ataque.

Investigadores de FortiGuard Labs de Fortinet detectaron por primera vez esta ola de actividad de Ousaban en mayo de 2026 y publicaron un análisis detallado de cómo opera.

Fortinet dijo en un informe que la campaña se basa en geovallas, cargas útiles ocultas e infraestructura en constante cambio para mantenerse adelantada a las herramientas de seguridad.

Una vez que un objetivo pasa la verificación de ubicación, la página entrega un script que descarga un archivo de imagen hecho para parecer un icono de PDF inofensivo. Dentro de esa imagen hay un archivo ZIP oculto que contiene la carga útil real de Ousaban, una técnica llamada esteganografía.

Luego, el malware elimina los rastros de su propia instalación para dificultar la detección por parte de cualquier persona que revise la máquina más tarde.

Ousaban no es nuevo, pertenece a una familia muy conocida de troyanos bancarios brasileños, a veces agrupados con Grandoreiro, Guildma y Melcoz bajo el apodo de "Tetrade".

Lo que ha cambiado es el envoltorio que lo rodea, construido específicamente para alcanzar a víctimas reales en dos países mientras permanece invisible para los investigadores y los escáneres automatizados en otros lugares.

El Malware Ousaban Utiliza PDFs de Phishing y un Descargador VBS

La cadena de ataque se apoya fuertemente en un PDF falso y un descargador estilo VBS que trabajan juntos, en lugar de un solo archivo malicioso.

El JavaScript oculto dentro del PDF de phishing puede abrir la página web maliciosa automáticamente, por lo que ni siquiera siempre es necesario un clic cauteloso.

Esta página realiza comprobaciones de la dirección IP, el idioma del navegador y la zona horaria, y bloquea a cualquier persona que se conecte a través de una VPN.

Fortinet señaló que una versión anterior de este filtrado se ejecutaba directamente en el navegador, pero los operadores luego lo trasladaron a su propio servidor para que las reglas exactas permanezcan ocultas para los analistas.

Los visitantes que no pasan la comprobación simplemente ven un mensaje de "acceso denegado" en idioma español en lugar de algo dañino.

Aquellos que pasan reciben la imagen esteganográfica y, finalmente, la carga útil de Ousaban, que se instala silenciosamente y establece la persistencia a través de una entrada de registro llamada Financeiro, la palabra portuguesa para finanzas.

Robo de Credenciales e Infraestructura de Comando

Una vez instalado, Ousaban permanece inactivo hasta que la víctima abre uno de los más de dos docenas de sitios bancarios seleccionados, incluidos Santander, BBVA, CaixaBank, Bankinter y Caixa Geral de Depósitos.

En ese momento, puede capturar capturas de pantalla, registrar pulsaciones de teclas, manipular el portapapeles y mostrar pantallas bancarias falsas para engañar a los usuarios y lograr que entreguen sus datos de inicio de sesión.

Su configuración de comando y control está diseñada para evadir los esfuerzos de eliminación. Un enlace de Pastebin incrustado en el malware apunta a lo que parece ser la dirección de un servidor, pero Fortinet confirmó que se trata de un señuelo que no conduce a nada útil.

La dirección real cambia cada día, generándose a partir de un hash de la fecha actual extraído de una página de error de Google, lo que hace que bloquear el dominio de ayer sea inútil.

La guía de Fortinet se centra en tratar los señuelos sospechosos con sospecha inmediata en lugar de confiar únicamente en el escaneo automatizado.

Cualquier PDF o correo electrónico que afirme que un archivo está corrupto y pida al lector que haga clic en "Actualizar" debe ser tratado como hostil, junto con las solicitudes que piden a los usuarios que peguen un comando para corregir un error, una táctica conocida como ClickFix.

Los archivos adjuntos de facturas o documentos fiscales inesperados merecen un escrutinio extra, especialmente para organizaciones con personal o clientes en España y Portugal.

Se aconseja también a los equipos de seguridad correlacionar los registros de endpoint, correo, DNS y proxy en lugar de confiar solo en los resultados del sandbox, ya que el filtrado del lado del servidor significa que un escáner automatizado podría ver únicamente la página de error inofensiva.

Fortinet afirmó que su propio motor antivirus y su producto de seguridad de correo electrónico ya marcan las muestras y los mensajes de phishing vinculados a esta campaña.

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.