Trojan disfarçado de PDF de cobrança mira clientes de bancos na América Latina
Uma campanha do trojan bancário Casbaneiro está atacando clientes de instituições financeiras na Argentina, no Peru, na Colômbia e no México. Identificada por pesquisadores da Fortinet em agosto, a operação utiliza documentos em PDF com aparência de cobranças, notificações financeiras ou supostos procedimentos judiciais para induzir as vítimas a clicar em links maliciosos.
O golpe combina engenharia social, filtragem geográfica e técnicas de execução que dificultam a detecção. Um dos principais recursos da campanha é manter o malware aparentemente inativo até que o usuário acesse um dos sites bancários definidos pelos criminosos. Dessa forma, o código reduz a exposição de suas atividades e evita gerar tráfego suspeito antes do momento considerado mais importante.
PDF cria sensação de urgência
A infecção começa com o envio de um e-mail contendo um PDF. A mensagem tenta provocar uma reação rápida ao mencionar uma fatura em aberto, uma cobrança urgente ou uma possível medida judicial. O objetivo é fazer com que o destinatário clique sem verificar cuidadosamente a origem do arquivo ou a legitimidade do conteúdo.
Para aumentar a credibilidade, o documento apresenta o próprio endereço de e-mail da vítima. Esse detalhe pode dar a impressão de que a mensagem foi elaborada especificamente para o destinatário e diminuir a desconfiança, embora o endereço possa ter sido obtido em bases de dados vazadas, campanhas anteriores de phishing ou listas públicas.
O arquivo não instala diretamente o trojan. Em vez disso, ele contém um link que inicia uma cadeia de validações. Antes de liberar a próxima etapa, o endereço verifica o IP de quem acessou a página. Pessoas localizadas fora dos países escolhidos são enviadas para páginas legítimas, como o Google ou o YouTube. Já os usuários considerados alvos recebem, de forma discreta, um arquivo ZIP codificado em Base64.
Arquivo ZIP carrega componentes do ataque
Dentro do pacote malicioso está um arquivo HTA, formato baseado em HTML que pode ser executado pelo Windows por meio de componentes nativos do sistema. Esse arquivo funciona como um mecanismo de preparação e download, permitindo que os invasores instalem diferentes partes do malware sem concentrar toda a ameaça em um único executável.
A cadeia identificada inclui o interpretador legítimo do AutoIt, um script compilado e outro componente armazenado separadamente em formato comprimido. O AutoIt é uma ferramenta real, normalmente usada para automatizar tarefas no Windows. Seu uso em conjunto com o malware ajuda a ocultar a atividade, especialmente em soluções de segurança que analisam apenas o primeiro binário executado.
A utilização de ferramentas legítimas, conhecida como abuso de software confiável, é comum em ataques direcionados. Em vez de depender exclusivamente de um executável claramente malicioso, o criminoso aproveita aplicações reconhecidas para carregar scripts, executar rotinas e dificultar a criação de alertas.
Casbaneiro espera o acesso ao internet banking
Após a instalação, o Casbaneiro não inicia imediatamente sua comunicação principal com a infraestrutura de comando e controle. O trojan permanece em espera até detectar que a vítima entrou em um dos sites bancários monitorados pelos operadores.
Esse comportamento torna a campanha mais seletiva. Caso o usuário infectado não acesse um banco compatível, o malware evita algumas de suas ações mais relevantes. Para os criminosos, a estratégia aumenta a eficiência e diminui o período em que conexões suspeitas podem ser observadas por ferramentas de monitoramento.
Quando o acesso ao banco é identificado, o malware transmite informações do computador e passa a executar funções destinadas ao roubo de dados. O atraso também pode dificultar investigações, pois a infecção e a atividade bancária acontecem em momentos diferentes.
Roubo de contatos e credenciais
Entre os dados coletados estão informações do catálogo de endereços e detalhes relacionados a remetentes e destinatários do Outlook. Esse material pode ser utilizado para ampliar campanhas de phishing, criar mensagens mais convincentes ou identificar novos alvos dentro de empresas e redes de relacionamento profissional.
O trojan também pode apresentar janelas falsas associadas a instituições financeiras específicas. Essas telas simulam etapas de autenticação, verificações de segurança ou solicitações feitas pelo banco. Quando o usuário digita dados nesses campos, as informações podem ser capturadas e enviadas aos operadores.
Dependendo da configuração utilizada na campanha, o objetivo pode incluir nomes de usuário, senhas, códigos de acesso e outras informações solicitadas durante o login. A abordagem é especialmente perigosa porque ocorre quando a vítima acredita estar realizando uma operação normal no internet banking.
Controle remoto amplia o risco
Além da função bancária, o componente malicioso aceita comandos capazes de dar aos atacantes controle significativo sobre o computador. Entre as ações possíveis estão a manipulação do teclado, o uso do conteúdo da área de transferência, a execução de arquivos e a abertura de comandos no sistema.
O acesso à área de transferência pode expor textos copiados pelo usuário, incluindo senhas, códigos temporários, dados de pagamento e informações corporativas. Já o controle do teclado permite automatizar ações ou interferir na navegação sem que a vítima perceba imediatamente.
A capacidade de executar arquivos também transforma o trojan em uma porta de entrada para ameaças adicionais. Os operadores podem instalar outros programas maliciosos, coletar documentos, alterar configurações ou tentar se movimentar para outros dispositivos conectados à mesma rede.
Como reconhecer e evitar esse tipo de golpe
Mensagens que mencionam cobranças, processos judiciais ou bloqueios de conta devem ser tratadas com cautela, sobretudo quando exigem uma ação imediata. O destinatário não deve abrir anexos inesperados nem clicar em links antes de confirmar a origem da mensagem por um canal independente.
Também é importante verificar o endereço completo do remetente, observar erros de linguagem e desconfiar de documentos que exibem dados pessoais como argumento de autenticidade. A presença do endereço de e-mail correto não prova que a mensagem seja verdadeira.
A confirmação de uma cobrança deve ser feita diretamente no aplicativo ou no site oficial da instituição, digitando o endereço manualmente ou utilizando um canal já conhecido. Nunca é recomendável acessar serviços bancários por links recebidos em mensagens suspeitas.
Empresas podem reduzir o risco com autenticação multifator, atualização constante do sistema operacional, bloqueio de scripts HTA quando eles não forem necessários e monitoramento de execução de ferramentas como AutoIt. Treinamentos regulares também ajudam funcionários a identificar documentos falsos e tentativas de engenharia social.
Por fim, soluções de segurança devem analisar não apenas o arquivo inicial, mas toda a cadeia de execução: o PDF, o link, o arquivo ZIP, o HTA, o interpretador legítimo e as conexões realizadas posteriormente. A campanha demonstra que ataques bancários modernos combinam disfarce, filtragem regional e ativação condicionada para escapar de mecanismos tradicionais de defesa.