近期 Fortinet 的 FortiGuard Labs 揭露了一波針對西班牙與葡萄牙 Windows 用戶的金融詐騙攻擊，其核心威脅是名為 Ousaban 的銀行木馬。這類攻擊並非隨機散佈，而是採取高度定向的策略，旨在竊取銀行登入憑證並接管受害者的帳戶。
對於初入行的工程師來說，這起案例最值得關注的不是木馬本身的破壞力，而是它如何透過多層次的過濾機制與隱匿手段，規避自動化安全分析工具的偵測。
攻擊路徑與心理操縱
攻擊的第一步是社會工程學。攻擊者會發送偽裝成損毀檔案的 PDF 附件，內容會提示用戶點擊 更新 按鈕來修復檔案。一旦點擊，用戶會被導向一個偽裝成稅務文件或安裝程序的惡意網頁。
這裡值得注意的一個細節是，PDF 內部隱藏的 JavaScript 腳本甚至可以在用戶未點擊的情況下，自動開啟該惡意網頁，增加了感染機率。
精準投放與地理圍欄技術
Ousaban 採取了名為 Geofencing 地理圍欄的篩選機制。簡單來說，就是攻擊者在伺服器端設定了一套過濾規則，只有來自西班牙或葡萄牙的 IP 位址、符合特定語言設定且時區正確的用戶才能觸發下載。
更進一步地，它會檢查訪問者是否使用 VPN，或是其螢幕解析度、安裝字體是否像自動化分析工具（如 Sandbox 沙箱）。如果系統判定訪問者是安全研究人員或非目標區域的用戶，網頁會直接顯示 存取被拒 的錯誤訊息。
這種做法對企業防禦造成了實質影響：許多公司依賴的 Gateway Detonation 閘道爆破偵測（將可疑連結送入沙箱執行以觀察行為），會因為被伺服器端識別而只看到錯誤頁面，導致安全設備誤判該連結為安全。
隱寫術與持久化手段
一旦通過篩選，下載過程會使用 Steganography 隱寫術。這是一種將秘密訊息隱藏在普通檔案中的技術。在 Ousaban 的案例中，它下載的是一個看起來像 PDF 圖示的圖片檔，但實際上該圖片內部封裝了一個 ZIP 壓縮檔。
腳本在解壓縮並執行木馬後，會立即刪除圖片、ZIP 檔以及下載腳本本身，以降低在硬碟上留下痕跡的機會。為了實現持久化，它會在 Windows 登錄檔中建立名為 Financeiro 的啟動項，確保電腦每次開機時木馬都會自動執行。
動態 C2 伺服器與規避偵測
木馬與控制端伺服器 C2 的通訊設計極具欺騙性。它會先提供一個 Pastebin 的連結作為誘餌，讓分析人員以為那是指令中心，但真正的伺服器位址是每日變動的。
Ousaban 會從 Google 頁面讀取當前日期，將日期與一個固定的秘密金鑰結合，動態計算出當天的伺服器網址。這種動態域名生成技術意味著，即便防禦者封鎖了昨天的 IP 或域名，今天依然無效。
木馬的實際影響
一旦成功潛伏，Ousaban 會監控用戶的瀏覽行為。當用戶開啟目標銀行的網站時，木馬會啟動以下功能： 螢幕截圖與鍵盤記錄：竊取登入帳號與密碼。 剪貼簿篡改：在用戶複製轉帳帳號時，將其替換為攻擊者的帳號。 偽造訊息視窗：顯示假的安全驗證畫面，誘導用戶輸入更多敏感資訊。 遠端控制：讓攻擊者能直接操作受害者的電腦。
防禦建議與總結
面對這類高度定向的威脅，單靠自動化工具是不夠的。從工程實務角度來看，建議採取以下防禦措施：
第一，強化用戶意識。任何提示檔案損毀並要求點擊 更新 的 PDF，或要求用戶在終端機貼上指令以修復錯誤的提示，都應視為高風險攻擊。
第二，監控端點異常。防禦者應重點檢查 Windows 登錄檔中是否有異常的 Run Key，例如 Financeiro，以及 C 槽根目錄下是否出現如 SysMain_ 開頭的隨機名稱檔案。
第三，理解偵測限制。意識到伺服器端篩選會讓沙箱偵測失效，因此不能將 沒有觸發警報 就等同於 安全。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。