Casbaneiro își ține C2-ul tăcut până când victima își deschide banca

O nouă campanie Casbaneiro este construită să pară inactivă. Troianul bancar pentru Windows fură date și înregistrează victima de la început, dar își deschide canalul principal de comandă și control (C2) doar când utilizatorul intră pe site-ul uneia dintre băncile vizate. Pentru cine monitorizează traficul de rețea, sau pentru un sandbox care nu deschide niciodată o pagină bancară, un calculator infectat poate părea complet curat.

Activitatea, documentată de Fortinet FortiGuard Labs într-o analiză tehnică publicată pe 10 septembrie 2026, a vizat utilizatori din America Latină, în special din Argentina, Peru, Columbia și Mexic.

Ce s-a întâmplat

Momeala. Victimele primesc e-mailuri și PDF-uri deghizate în facturi sau notificări juridice, inclusiv false citații de la instanță care cer un răspuns urgent.

Livrare filtrată geografic. Linkul din document duce la o pagină care verifică adresa IP a vizitatorului. Cei din afara țării vizate sunt redirecționați discret spre un site inofensiv, precum Google sau YouTube, așa că cercetătorii și scannerele nu ajung la payload. Vizitatorii din regiunea țintă primesc o arhivă ZIP codată Base64 în JavaScript, descărcată prin fereastra obișnuită a browserului, urmată de o redirecționare către o pagină goală.

Încărcare în etape. Arhiva conține un fișier HTA care încarcă JavaScript extern și apoi un pachet XML cu JScript. Acesta folosește WMI ca să detecteze medii sandbox și să confirme că limba sistemului este pe o listă permisă. Abia apoi descarcă trei componente separate: un interpretor AutoIt legitim, un script AutoIt compilat și un payload comprimat, toate cu nume aleatorii.

Persistență și injectare. O scurtătură în folderul Startup relansează scriptul AutoIt la fiecare autentificare. Loaderul afișează o fereastră falsă de serviciu Windows, apoi despachetează Casbaneiro și îl injectează în RegSvcs.exe, sau în mobsync.exe dacă primul lipsește.

Infrastructură fragmentată. Furtul de date, înregistrarea victimei și controlul de la distanță merg către servere diferite:

• Contactele din agenda Outlook și expeditorii/destinatarii mesajelor sunt colectate și trimise necriptat.
• Un identificator al victimei (MD5 din numele calculatorului, utilizator și executabil) ajunge, codat Base64, la un server care răspunde HTTP 403 Forbidden. Malware-ul tratează acest 403 drept succes și reîncearcă la orice alt răspuns.
• Sesiunea C2 principală, cu control de tastatură, lipire în clipboard, execuție de fișiere și comenzi și ferestre bancare false, pornește doar la vizitarea unei bănci vizate.

Eșantionul refuză să ruleze pe sisteme cu limba implicită germană, franceză sau engleză și reutilizează algoritmul de decriptare a setărilor întâlnit la Ousaban. Cercetătorii precizează că un algoritm comun nu dovedește, singur, că ambele campanii au același operator.

De ce contează

Campania este gândită să ocolească scurtăturile pe care se bazează echipele de apărare:

• „Fără trafic C2” nu înseamnă „neinfectat”. Datele pot pleca înainte ca acel canal principal să se deschidă.
• Un 403 nu înseamnă un server mort. Cine ignoră serverul de înregistrare ca infrastructură abandonată ratează o parte funcțională a lanțului.
• Fragmentarea pe fișiere și servere face ca fiecare piesă să pară benignă luată separat.
• FortiGuard a observat și cereri HTTP fără antet Host, valori Content-Length supradimensionate și corpuri trimise în multe pachete mici, ceea ce poate încurca inspecția traficului.

Ce e de făcut

1. Căutați tiparul AutoIt. Alertă pentru un interpretor AutoIt rulat dintr-un folder aleatoriu din rădăcina C:\ și pentru fișiere .lnk noi în Startup care îl lansează.
2. Monitorizați țintele de injectare. RegSvcs.exe sau mobsync.exe cu conexiuni ieșire sau fără un proces părinte plauzibil merită investigate.
3. Verificați artefactele pe stații: un mutex care începe cu GlobolID-4465173, folderul marker %PUBLIC%\{ComputerName}@4{UserName}, %APPDATA%\.Outlook și foldere/chei cu nume MD5 în %TEMP% și HKCU\SOFTWARE. Numele singure sunt semnale slabe; corelați-le cu comportamentul suspect.
4. Blocați și căutați indicatorii de rețea publicați, printre care gexwalltool[.]com, x-wolverine[.]servebbs[.]com, 72[.]167[.]48[.]63 și 209[.]99[.]188[.]28, plus listele complete de hash-uri și domenii din raportul FortiGuard.
5. Restrângeți execuția HTA și a scripturilor. Unde nu e nevoie, blocați mshta.exe și tratați atașamentele/descărcările HTA/JS ca risc ridicat.
6. Corelați telemetria de e-mail, endpoint și rețea, astfel încât momeala, descărcarea în etape și cererea ieșire ciudată să fie văzute ca un singur incident.
7. Instruiți echipele financiare și juridice. Facturile neașteptate și „citațiile” care cer un click rapid sunt punctul de intrare. Verificați-le pe alt canal.
8. Analizați realist în sandbox. Includeți vizite pe site-uri bancare relevante pentru regiune; altfel, comportamentul C2 principal poate să nu apară deloc.

Indicatorii sunt intenționat dezactivați („defanged”). Reactivați-i doar în platforma de threat intelligence sau în SIEM.