Un PDF « corrompu », un contrôle géographique digne d’un videur de boîte de nuit et une charge utile planquée dans une icône : Fortinet décortique une campagne Ousaban qui traque les clients bancaires Windows en Espagne et au Portugal.
Le groupe FortiGuard Labs, chez Fortinet, attribue l’opération à Ousaban, un cheval de Troie bancaire d’origine brésilienne déjà croisé ailleurs. La séquence repérée en mai 2026 démarre par un faux PDF présenté comme un fichier corrompu. Le document invite la victime à cliquer sur un bouton « Atualizar » pour ouvrir une page malveillante, ou lance cette page via du JavaScript intégré.
Points clés
- Ousaban cible plus de deux douzaines de banques espagnoles et portugaises via un faux PDF « corrompu »
- La charge utile est cachée par stéganographie dans une image imitant une icône PDF
- Le serveur C2 change d’adresse chaque jour en la recalculant à partir de la date lue sur Google
- Le malware ne touche que Windows et vole captures d’écran, frappes clavier et sessions bancaires
Un videur numérique pour trier les victimes
La cible est chirurgicale : les utilisateurs Windows qui se connectent à des banques en Espagne et au Portugal. La campagne filtre les visiteurs selon leur emplacement, puis leur claque la porte au nez s’ils ne collent pas au périmètre visé. Les recalés récoltent un message d’accès refusé en espagnol, pas le malware.
Selon le descriptif publié par The Hacker News, la page d’attaque se déguise en portail de documents fiscaux ou d’installation. Une vérification côté serveur remplace désormais les anciens contrôles opérés dans le navigateur : adresse IP, langue, fuseau horaire, blocage des VPN, filtrage des outils automatisés via la taille de l’écran ou les polices installées.
La charge utile cachée dans une image
Une fois le filtrage passé, le téléchargement démarre. Le script récupère une image qui imite une icône PDF mais dissimule en réalité un fichier ZIP. Fortinet parle de stéganographie : la charge utile se planque dans l’image, puis se fait extraire et exécuter. L’image, le ZIP et le script sont ensuite effacés pour laisser le moins de traces possible.
La campagne vise plus de deux douzaines de banques sur les deux marchés, parmi lesquelles Banco Santander, BBVA, CaixaBank, Bankinter et Caixa Geral de Depósitos. La charge utile ne concerne que Windows.
Vol de session et serveur C2 qui joue à cache-cache
Une fois installé, Ousaban ajoute une entrée de registre nommée Financeiro pour se lancer avec Windows. Le cheval de Troie attend qu’un site bancaire s’ouvre, puis capture des copies d’écran et les frappes clavier, modifie le presse-papiers, affiche de faux messages et prend la main à distance sur la session.
Le serveur de commande et de contrôle (C2, pour command-and-control) est volontairement fuyant. Un lien Pastebin renvoie vers une fausse adresse, tandis que la véritable change chaque jour. Le malware lit la date courante sur une page Google, la combine avec une clé fixe, puis reconstruit l’URL à interroger. Bloquer une seule adresse ne sert donc à rien.
Les recommandations de Fortinet restent classiques mais valent le rappel : se méfier des PDF qui exigent un clic sur « Update », des pièces jointes qui se prétendent corrompues et des invitations à copier-coller une commande pour « réparer » une erreur. L’éditeur assure que ses produits FortiMail et FortiGuard Antivirus détectent les éléments associés à cette opération.
