Uma campanha do trojan bancário Casbaneiro em agosto de 2026 teve como alvo usuários da América Latina por meio de e-mails de phishing e PDFs maliciosos disfarçados de faturas e notificações jurídicas.
Seu diferencial é a ativação condicional de comando e controle (C2, na sigla em inglês): o malware inicia a comunicação bancária com o C2 apenas quando as vítimas acessam sites financeiros visados, fazendo com que sistemas infectados pareçam inativos durante análises automatizadas.
Essa restrição, porém, não impede atividades maliciosas anteriores. Antes de iniciar a comunicação bancária, o Casbaneiro coleta informações de e-mails do Outlook e transmite os dados roubados para pontos de extremidade separados.
Os documentos de phishing incluem os endereços de e-mail dos destinatários para aumentar a credibilidade e criar urgência em torno de pagamentos ou supostos processos judiciais. O alvo observado inclui Argentina, Peru, Colômbia e México.
Links maliciosos levam a páginas da web com restrição geográfica. Visitantes fora do país alvo são redirecionados para serviços legítimos, como Google ou YouTube.
Visitantes elegíveis recebem um arquivo ZIP reconstruído a partir de conteúdo codificado em Base64 incorporado em JavaScript, seguido de um redirecionamento para uma página em branco.
O arquivo contém um downloader em formato HTA (HTML Application) que referencia JavaScript externo.
Esse componente recupera um pacote de scripts em XML contendo JScript, que utiliza a WMI (Instrumentação de Gerenciamento do Windows) para verificar ambientes de sandbox e identificar o idioma do sistema operacional.
Após a conclusão dessas verificações, o downloader baixa separadamente um interpretador legítimo do AutoIt, um script compilado e uma carga útil compactada para um diretório com nome aleatório.
Segundo o FortiGuard Labs em um relatório compartilhado com o GBhackers, a campanha combina filtragem geográfica, verificações de idioma, entrega de cargas em etapas e respostas HTTP enganosas para dificultar a detecção e a análise da infraestrutura.
Trojan bancário Casbaneiro
Separar os componentes torna a funcionalidade maliciosa combinada mais difícil de ser reconhecida por meio de inspeção estática isolada.
Um atalho na pasta de Inicialização garante persistência, enquanto uma pasta em %PUBLIC% registra o status da infecção.
O carregador em AutoIt exibe uma janela falsa de serviço do Windows, descompacta o arquivo marcado com o sufixo crT e injeta o Casbaneiro no RegSvcs.exe, usando o mobsync.exe como alternativa, se necessário.
O Casbaneiro descriptografa strings de configuração montadas a partir de fragmentos, cria um mutex (mecanismo de exclusão mútua) e rejeita sistemas configurados com alemão, francês ou inglês como idioma padrão.
Ele coleta entradas da lista de endereços do Outlook e informações de remetentes e destinatários de e-mails, transmitindo os dados sem criptografia. Um arquivo .Outlook em %APPDATA% marca a conclusão do roubo de e-mails.
Outro ponto de extremidade recebe informações da vítima codificadas em Base64 e retorna HTTP 403 Proibido. Detalhe crucial: o Casbaneiro trata essa resposta como o resultado esperado; outros códigos de status acionam novas tentativas.
Analistas que interpretem a resposta como infraestrutura inacessível podem, portanto, deixar passar um ponto de coleta em funcionamento.
Somente após receber a resposta 403 esperada é que o malware cria marcadores nomeados com MD5 em %TEMP% e em HKCU\SOFTWARE, evitando atividades repetidas.
Quando um site bancário alvo é acessado, o canal C2 real é ativado. As tarefas compatíveis incluem controle de teclado, colagem via área de transferência, execução de arquivos, execução de comandos e janelas falsas com tema bancário, projetadas para facilitar fraudes.
Os pesquisadores também observaram requisições HTTP malformadas, sem cabeçalho Host e com valores de Content-Length (tamanho do conteúdo) anormalmente grandes, com corpos transmitidos em vários pacotes pequenos.
Essas anomalias podem dificultar a inspeção de tráfego, embora sua finalidade permaneça incerta.
O Casbaneiro compartilha seu algoritmo de descriptografia de strings com o Ousaban, outro trojan bancário analisado pelo FortiGuard Labs.
A investigação sobre o Ousaban descreveu filtragem geográfica, infraestrutura de configuração enganosa e descoberta de C2 acionada por atividade bancária, demonstrando padrões de evasão sobrepostos, e não operadores compartilhados.
O principal desafio analítico é o tempo: o roubo inicial de dados, as respostas enganosas de coleta e o controle remoto acionado por atividade bancária ocorrem separadamente.
Avaliar apenas a execução inicial ou a disponibilidade do ponto de extremidade pode deixar passar o comportamento operacional da campanha.
IOCs (Indicadores de Comprometimento)
Observação: os endereços IP e domínios foram propositalmente desfocados (ex.: [.]) para impedir resolução ou criação de hiperlinks acidentais. Reative-os apenas em plataformas controladas de inteligência de ameaças, como MISP (Plataforma de Compartilhamento de Informações sobre Malware), VirusTotal ou seu SIEM (Sistema de Gerenciamento de Informações e Eventos de Segurança).
Interrompa ameaças cibernéticas antes do impacto com MTTR (Tempo Médio de Resposta) 21 minutos mais rápido. Integre o sandbox da ANYRUN ao seu SOC (Centro de Operações de Segurança).
