Casbaneiro银行木马通过紧急发票或法律通知的钓鱼邮件与个性化PDF诱饵，针对拉丁美洲银行用户。它利用IP过滤、分阶段下载和HTA/AutoIt加载，等待受害者访问目标银行网站后激活，窃取邮件与银行数据并支持欺诈。
Casbaneiro正通过看似紧急发票或法律通知的钓鱼信息，针对拉丁美洲的在线银行用户。
该活动使用个性化的 PDF 诱饵，诱导收件人进入恶意下载链，使电子邮件数据、银行活动和系统详细信息面临风险。
以 Windows 为中心的行动旨在保持安静，直到关键时刻。在获得立足点后，它等待受害者浏览目标银行网站，然后联系其命令基础设施，并可以开始旨在支持欺诈的行动。
研究人员在 2026 年 8 月发现了这一活动，并追踪了阿根廷、秘鲁、哥伦比亚和墨西哥的受害者。调查结果显示，区域过滤、分阶段下载和定时网络流量可以使银行木马在常规安全审查中更难被发现。
这种做法会带来超越单个受损账户的风险，因为收集到的联系人和电子邮件详细信息可以支持后续攻击。
攻击始于一封电子邮件和一份 PDF 文件，这些文件围绕发票或所谓的法律程序制造紧迫感。这些文件可能会显示收件人的电子邮件地址，这是一个简单的技巧，增加了可信度。
类似的欺骗手段出现在关于武器化 PDF 威胁的报告之中，其中一份熟悉的文档成为恶意软件传递的第一步。
一个链接首先检查访客的 IP 地址。访客来自所选国家之外的地区会被重定向到合法网站，如 Google 或 YouTube，而目标用户则会收到一个静默下载 Base64 编码的 ZIP 压缩包的页面。
这种位置检查限制了暴露范围，并降低了研究人员收到相同恶意内容的机会。
在压缩文件中，一个 HTA 文件获取更多脚本内容，并检查设备以分析环境及批准的操作系统语言。
如果系统通过检查，它将分别下载一个合法的 AutoIt 解释器、一个编译脚本和一个压缩组件。这种分阶段的方法类似于 AutoIt 加载器滥用的交付模式，这有助于恶意软件隐藏其综合目的。
一旦激活，Casbaneiro 会解密其配置，收集通讯录条目和 Outlook 发件人和收件人详细信息，并未经加密地传输这些信息。
木马不会立即使用其主命令通道。它会等待受害者访问目标银行网站，然后发送系统信息并接受键盘控制、剪贴板粘贴、文件执行和命令执行的指令。
其伪造窗口功能还可以针对特定银行，增加在线银行会话期间的危险。
第二个服务器在接收到 Base64 编码的受害者数据时返回 HTTP 403。该响应并非表示失败，而是过程的一部分；任何其他状态都会使恶意软件重试。
该活动向不同服务器发送不同信息，并使用畸形 HTTP 请求，使网络调查变得复杂。其银行触发的行为与 Ousaban 银行恶意软件活动相似，这也是另一个等待受害者打开选定银行网站的活动。
应将意外的发票和法律通知 PDF 文件视为可疑，通过独立渠道验证请求，并在可能的情况下阻止下载的 HTA 文件的执行。
安全团队应监控异常的 AutoIt 使用、启动文件夹快捷方式、浏览器触发的出站流量以及看似失败的 403 通信。
员工培训和及时报告仍然重要，特别是针对那些旨在制造紧迫感的信息。读者可以回顾银行木马活动策略，以识别相关的警告迹象。
原文始发于微信公众号（信安社群）：黑客部署 Casbaneiro 银行木马，该木马在受害者打开银行网站时激活
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
http://cn-sec.com/archives/5433547.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论