El troyano bancario brasileño Ousaban ataca a usuarios de Windows en España y Portugal mediante PDFs de phishing que simulan archivos corruptos. El malware utiliza esteganografía para ocultar su carga y filtra a las víctimas por ubicación para robar credenciales de más de dos docenas de bancos. Para evitar la detección, emplea servidores que cambian diariamente y técnicas de geovallado.






Un troyano bancario brasileño llamado Ousaban está persiguiendo a usuarios de Windows que operan en bancos de España y Portugal. FortiGuard Labs de Fortinet identificó la campaña en mayo de 2026.

Comienza con un PDF de phishing disfrazado de archivo corrupto, verifica que el visitante esté realmente en España o Portugal y oculta su carga útil real dentro de una imagen.

El objetivo es el habitual: robar credenciales bancarias y tomar el control de las cuentas.

Ousaban se queda silenciosamente en el PC con Windows y espera a que abras un sitio bancario. Cuando se carga el banco objetivo, puede capturar capturas de pantalla y pulsaciones de teclas, manipular el portapapeles, mostrar mensajes falsos y dar al atacante el control remoto.

En conjunto, estas son las herramientas para secuestrar una sesión bancaria activa y apoderarse de una cuenta. Ousaban vigila más de dos docenas de bancos en ambos países, entre ellos Banco Santander, BBVA, CaixaBank, Bankinter y Caixa Geral de Depósitos.

Cómo funciona el ataque

Empieza con un PDF de phishing disfrazado de archivo corrupto. El PDF muestra un aviso indicando a la víctima que pulse un botón de "Atualizar" (Actualizar), que abre una página web maliciosa.

El JavaScript oculto en el PDF puede abrir la misma página por sí solo. La página se hace pasar por un portal de documentos fiscales e instalador mientras filtra a los visitantes. Fortinet afirma que una versión anterior realizaba estas comprobaciones en el navegador: analizaba la dirección IP, el idioma y la zona horaria del visitante, bloqueaba a cualquiera que accediera a través de una VPN y filtraba las herramientas de seguridad automatizadas comprobando detalles como el tamaño de la pantalla y las fuentes instaladas.

La versión actual traslada ese filtrado al servidor del operador, por lo que las reglas exactas están ocultas. De cualquier modo, los visitantes fuera de España o Portugal reciben un aviso español de "acceso denegado" en lugar del malware.

Si superas la comprobación, comienza la descarga. Un script descarga una imagen que parece el icono de un PDF pero que oculta un archivo ZIP en su interior, un truco llamado esteganografía. El script descomprime Ousaban de ese ZIP, lo ejecuta y luego elimina la imagen, el ZIP y a sí mismo para dejar menos rastro. Una vez en ejecución, Ousaban añade una entrada de registro llamada Financeiro (finanzas en portugués) para que se inicie con Windows.

El servidor de comando de Ousaban, la máquina que lo controla, es deliberadamente difícil de encontrar. Contiene un enlace de Pastebin que apunta a una dirección de servidor, pero Fortinet dice que esa dirección es un señuelo.



Ocultar estos detalles en servicios web es un viejo hábito de Ousaban. Esta vez, el servidor real cambia cada día. El malware lee la fecha actual de una página de Google, construye una dirección web a partir de esa fecha más un secreto fijo y la busca. Bloquear la dirección de ayer no sirve de mucho.

Un manual brasileño familiar

Nada de esto es nuevo. Ousaban, también rastreado como Javali, es uno de un grupo de troyanos bancarios brasileños que Kaspersky etiquetó hace años como la "Tétrade", junto con Grandoreiro, Guildma y Melcoz.

Estas familias comenzaron en Brasil y se extendieron a España y Portugal, tomando prestado código entre sí; el cifrado de cadenas de Ousaban es el mismo esquema personalizado utilizado por otra familia, Casbaneiro.

Grandoreiro, el más conocido del grupo, muestra lo resistente que es este manual de juego. Sobrevivió a un desmantelamiento coordinado por Interpol en enero de 2024 y regresó a los pocos meses, y sus cargadores se apoyaban en el mismo hábito de ocultar descargas tras señuelos con apariencia de PDF y comprobaciones de país.

Sigue activo contra objetivos ibéricos, con una campaña reportada este año que seguía golpeando a bancos portugueses. Fortinet vincula la misma infraestructura a la actividad de Ousaban a finales de 2025 que utilizaba otros puntos de entrada, incluido "ClickFix", una estafa que consigue que la víctima pegue ella misma un comando malicioso pensando que está solucionando un error.

Qué hacer

El primer lugar donde detectarlo es el señuelo. Trata cualquier PDF o correo electrónico que afirme que un archivo está corrupto y te pida pulsar "Actualizar" como hostil. Lo mismo ocurre con los avisos que piden a los usuarios pegar un comando para solucionar un "error". El PDF puede incluso abrir la página maliciosa por sí solo.

Trata como sospechosos los archivos adjuntos inesperados de facturas o documentos fiscales, especialmente en España y Portugal.

El filtrado del lado del servidor significa que un sandbox automatizado que solo recupera el enlace puede obtener solo la página de error en español en lugar del malware. La detonación en puerta de enlace por sí sola puede pasarlo por alto. La campaña solo afecta a Windows.

El informe de Fortinet enumera dominios, direcciones IP y hashes de archivos para bloquear. Deberías vigilar la clave de ejecución de registro Financeiro y los archivos depositados en C:\SysMain_5874288. Fortinet afirma que su antivirus FortiGuard detecta las muestras y su producto FortiMail marca el correo de phishing.

El troyano en sí es antiguo y Fortinet dice que su cifrado personalizado se ha mantenido eficaz contra la detección durante años. La parte más nueva es el envoltorio: geovallas, una carga útil oculta y una dirección diaria desechable, todo construido para mostrar el malware a víctimas reales en dos países y a nadie más.

Fuente:
THN