برمجية Ousaban المصرفية تعود بهجوم جديد يستهدف مستخدمي ويندوز في إسبانيا والبرتغال عبر ملفات PDF مزيفة وروابط خادعة لسرقة الحسابات البنكية.
ما هي برمجية Ousaban المصرفية ولماذا عادت الآن؟
رصد الباحثون خلال مايو 2026 حملة جديدة لبرمجية Ousaban، وهي حصان طروادة مصرفي معروف بنشاطه في سرقة بيانات تسجيل الدخول البنكية والسيطرة على الجلسات المالية الحساسة.
اللافت في هذه الموجة أنها تركز على مستخدمي Windows الذين يتعاملون مع بنوك في إسبانيا والبرتغال، مع اعتماد أساليب تمويه متقدمة لتجاوز أنظمة الحماية وإرباك الضحية منذ الخطوة الأولى.
ما الهدف من الهجوم؟
الهدف المباشر هو الاستيلاء على بيانات الحسابات البنكية ثم اختطاف الجلسة المصرفية أثناء استخدامها. ووفق متابعة تيكبامين، فإن البرمجية لا تكتفي بسرقة كلمات المرور، بل تحاول منح المهاجم سيطرة كاملة على عملية الدخول والتحويل.
- سرقة بيانات تسجيل الدخول البنكي
- التقاط لقطات شاشة من الجهاز
- تسجيل ضغطات لوحة المفاتيح
- التلاعب بالحافظة Clipboard
- عرض رسائل مزيفة داخل الجلسة البنكية
- منح المهاجم تحكما عن بعد بالجهاز
كيف تبدأ هجمات Ousaban عبر ملفات PDF المزيفة؟
تبدأ السلسلة بملف PDF تصيدي يبدو كأنه ملف تالف أو غير قابل للفتح. داخل المستند تظهر رسالة تطلب من المستخدم الضغط على زر "Atualizar" أو "تحديث"، ليتم نقله إلى صفحة خبيثة.
وفي بعض الحالات، يحتوي الملف نفسه على JavaScript مخفي يمكنه فتح الصفحة تلقائيا دون انتظار تفاعل الضحية. هذا الأسلوب يزيد فرص نجاح الهجوم، خصوصا عندما يظن المستخدم أنه يحاول فقط إصلاح ملف معطوب.
كيف يتم اختيار الضحايا؟
تعتمد الحملة على فحص الزائر قبل تسليم الحمولة الخبيثة. النسخ السابقة كانت تتحقق من عنوان IP واللغة والمنطقة الزمنية، كما تحاول حجب مستخدمي VPN وأدوات التحليل الآلي.
أما النسخة الأحدث، فنقلت عملية الفحص إلى خادم المهاجم نفسه، ما يجعل قواعد التصفية أصعب في الرصد. وإذا كان الزائر خارج إسبانيا أو البرتغال، تظهر له رسالة رفض وصول بدلا من تنزيل البرمجية.
كيف تخفي البرمجية نفسها داخل صورة وتثبت وجودها؟
بعد اجتياز الفحص، يبدأ التنزيل عبر سكربت يحصل على صورة تبدو كأيقونة PDF عادية، لكنها تخفي بداخلها ملف ZIP باستخدام تقنية الإخفاء داخل الصور أو steganography.
ثم يفك السكربت الضغط ويشغّل Ousaban قبل حذف الصورة والملف المضغوط والسكربت نفسه لتقليل الآثار. وبعد التشغيل، تضيف البرمجية مفتاحا في سجل ويندوز باسم Financeiro كي تعمل تلقائيا مع كل إقلاع للنظام.
- تمويه الحمولة داخل صورة
- استخراج ملف ZIP بشكل خفي
- تشغيل البرمجية ثم حذف الآثار
- إضافة آلية بقاء داخل Registry
ما البنوك المستهدفة وكيف تحمي نفسك من Ousaban؟
تراقب البرمجية أكثر من 24 مؤسسة مالية في البلدين، من بينها Banco Santander وBBVA وCaixaBank وBankinter وCaixa Geral de Depósitos. وعند فتح موقع بنك مستهدف، تبدأ أدوات المراقبة والسيطرة بالعمل فورا.
لحماية نفسك، تجنب فتح ملفات PDF غير المتوقعة، ولا تضغط على أزرار تحديث داخل المستندات، واستخدم حماية محدثة على Windows، مع تفعيل المصادقة الثنائية للحسابات البنكية. وفي الخلاصة، يبقى Ousaban تهديدا خطيرا يثبت أن الهجمات المصرفية ما زالت تتطور بسرعة، وهو ما يدفع تيكبامين للتأكيد على أن الحذر من التصيد أصبح خط الدفاع الأول.
