ESET продолжает исследование банковских троянов в Латинской Америке
Bold Ousaban в качестве приманки крадет учетные данные с непристойными изображениями.
БРАТИСЛАВА, ПРАГА - ESET Research продолжает свою регулярную серию работ по демистификации латиноамериканских банковских троянов, на этот раз с углубленным изучением вредоносного ПО Ousaban (также известного как Javali). Согласно телеметрии ESET, Ousaban работает только в Бразилии, хотя некоторые источники утверждают, что он активен и в Европе. Вредоносное ПО в первую очередь ориентировано на кражу учетных данных финансовых учреждений и, что нетипично для латиноамериканских банковских троянцев, также и популярных почтовых сервисов. ESET назвала это семейство вредоносных программ, объединив два слова - « ousa dia», что в переводе с португальского означает «смелость», и « запретить троян-король», потому что Ousaban заработал свою известность своей смелостью благодаря использованию непристойных изображений сексуального характера как части вектора своего распространения.
Простая дистрибьюторская цепочка Ousaban
ESET отслеживает это семейство вредоносных программ, наблюдая при этом признаки активного и непрерывного развития с 2018 года. Возможности бэкдора Ousaban очень похожи на возможности типичного латиноамериканского банковского трояна - имитация действий мыши и клавиатуры и регистрация нажатий клавиш. Ousaban также не является исключением из типичного поведения латиноамериканских банковских троянов при атаке пользователей финансовых учреждений через оверлейные окна, созданные специально для целей. В отличие от этого, целью Ousaban является несколько почтовых сервисов, для которых он также имеет готовые оверлейные окна.
«Ousaban доставляется в основном через фишинговые электронные письма, используя довольно простую цепочку распространения. Жертву вводят в заблуждение, заставляя запустить MSI-файл, прикрепленный к фишинговому письму. При запуске MSI запускает встроенный загрузчик JavaScript, который загружает ZIP-архив и извлекает его содержимое, состоящее в основном из законного приложения, инжектора и зашифрованного Ousaban. Используя боковую загрузку DLL, банковский троян в конечном итоге расшифровывается и запускается », - объясняет Якуб Соучек, координатор группы ESET, исследовавшей Ousaban.
С технической точки зрения заслуживает внимания и механизм настойчивости Усабана. «Ousaban либо создает файл LNK, либо простой загрузчик VBS в папке автозагрузки, либо изменяет ключ Run в реестре Windows», - рассказывает Соучек. «Кроме того, Ousaban защищает свои исполняемые файлы с помощью двоичных обфускаторов и увеличивает размер большинства EXE-файлов примерно до 400 МБ, чтобы избежать обнаружения и автоматической обработки».
С 3 по 5 октября 2025 года в городе Переславль-Залесский прошла XXI конференция разработчиков свободного программного обеспечения. Мероприятие посетило свыше 2 тысяч участников, присутствовавших лично и подключившихся удаленно. Организацию события взяли на себя компания «Базальт СПО» и Институт программных систем имени А.К. Айламазяна Российской академии наук (ИПС РАН)
В июле 2025 года в компанию «Доктор Веб» обратился клиент из государственного сектора Российской Федерации с подозрением о возможной компрометации внутренней сети. Гипотеза возникла в связи с тем, что клиент зафиксировал рассылку нежелательных сообщений с одного из корпоративных почтовых ящиков. Проведенное нашей антивирусной лабораторией расследование инцидента показало, что учреждение подверглось целевой атаке со стороны хакерской группировки, которую специалисты «Доктор Веб» идентифицировали как Cavalry Werewolf. Одной из целей кампании был сбор конфиденциальной информации и данных о конфигурации сети
«Доктор Веб» представляет обновленную версию Dr.Web vxCube. Основное изменение — наложение отчета песочницы на Enterprise-матрицу MITRE ATT&CK, что позволяет объединить результаты анализа с базой знаний о тактиках и техниках атакующих. Результат: более точная оценка вредоносности исследуемых образцов и выстраивание хронологии атаки. Матрица MITRE ATT&CK в формате базы знаний описывает тактики и техники киберпреступников, атакующих информационные системы, — это позволяет специалистам по информационной безопасности получать готовые данные для повышения эффективности защиты инфраструктуры
Согласно статистике детектирований антивируса Dr.Web, в III квартале 2025 года общее число обнаруженных угроз снизилось на 4,23% по сравнению со II кварталом. При этом количество уникальных угроз увеличилось на 2,17%. Чаще всего на защищаемых устройствах обнаруживалось нежелательное рекламное ПО, рекламные трояны и вредоносные скрипты. В почтовом трафике преобладали вредоносные скрипты, бэкдоры, и различные троянские программы, такие как загрузчики, дропперы и похитители паролей
В конце июня 2025 года в компанию «Доктор Веб» обратились представители российского предприятия машиностроительного сектора c просьбой выяснить, являются ли периодические срабатывания антивируса на одном из компьютеров признаком заражения или же вызваны неким сбоем. Расследование инцидента показало, что реакция антивируса оказалась штатной, а предприятие подверглось целевой атаке
В октябре 2023 года в компанию «Доктор Веб» обратилось российское предприятие машиностроительного сектора с подозрением на присутствие ВПО на одном из своих компьютеров.
Более половины российских компаний сегмента МСП планируют увеличить траты на информационную безопасность в 2025 году, однако большинство готовы укреплять защиту лишь в ответ на внешнее давление. Так, 74% компаний заявляют, что готовы действовать только в случае введения новых требований регулятора — такие данные представлены во второй части исследования ИТ-компании «Киберпротект» и платформы по поиску работы «Работа.ру»
Ваши контактные данные не публикуются на сайте.