Un nuovo trojan bancario di origine brasiliana, ribattezzato Ousaban, sta mettendo nel mirino gli utenti Windows di Spagna e Portogallo con un modus operandi che mescola ingegneria sociale e accorgimenti tecnici elusivi. La campagna, documentata da FortiGuard Labs di Fortinet a maggio e resa pubblica questa settimana, colpisce in particolare i clienti di Santander e BBVA, due tra le banche più diffuse nella penisola iberica.

Un attacco che si nasconde in un’immagine

La catena d’infezione inizia con un’email di phishing che contiene un allegato PDF ingannevole. Il documento non è un vero PDF ma un’esca: chi lo apre viene reindirizzato a un sito malevolo che scarica un file compresso. All’interno c’è un eseguibile camuffato da icona innocua, ma la vera particolarità sta nel payload finale. Il trojan nasconde il codice malevolo dentro un’immagine, utilizzando la steganografia per sfuggire ai controlli degli antivirus. Una volta in esecuzione, Ousaban cerca di rubare credenziali bancarie e altri dati sensibili, installando anche keylogger e moduli per il controllo remoto.

Perché il settore finanziario resta un bersaglio cruciale

Le banche rappresentano un obiettivo ad alto valore per i criminali informatici, e campagne come questa confermano che la sofisticazione degli attacchi è in continua evoluzione. Ousaban non si limita a diffondere malware in modo indiscriminato: utilizza il geofencing per colpire solo vittime residenti in determinate aree geografiche. In pratica, il codice verifica la posizione della macchina infetta e attiva il payload completo soltanto se l’IP corrisponde a una regione di interesse. Questo stratagemma riduce il rischio di essere rilevato da sandbox o sistemi di analisi situati in altre giurisdizioni, allungando la vita della campagna.

Dalla minaccia finanziaria alle lezioni per l’on-premise

Sebbene l’attacco sia mirato al retail banking, il principio di isolamento geografico e di offuscamento del payload interessa chiunque gestisca infrastrutture sensibili on-premise. Le organizzazioni che mantengono i propri server di inference o training LLM in locale, spesso per ragioni di sovranità dei dati e compliance GDPR, devono fare i conti con lo stesso vettore: un endpoint compromesso può aggirare le difese perimetrali e diventare un trampolino per movimenti laterali verso sistemi di valore. La tecnica del geofencing ricorda che i controlli basati sulla posizione non sono una protezione assoluta, perché un attaccante con accesso locale può comunque sferrare l’attacco se il territorio viene considerato “affidabile”.

Persistenza e difesa: una partita ancora aperta

Ousaban dimostra che i trojan bancari non sono una reliquia del passato, ma si adattano a nuovi strumenti di evasione. Per le aziende, la risposta non può limitarsi a un antivirus aggiornato. La formazione anti-phishing, la segmentazione delle reti e il monitoraggio comportamentale sono elementi essenziali. In un contesto di deployment on-premise, dove la superficie d’attacco è gestita internamente, diventa cruciale integrare queste misure con policy di accesso zero-trust e verifica continua dei dispositivi. Solo così si può ridurre la probabilità che un PDF fasullo si trasformi in una breccia capace di compromettere dati finanziari o, in scenari più ampi, modelli e archivi di un’infrastruttura AI autogestita.