O PDF de cobrança que espera você abrir o banco para agir

Pesquisadores da Fortinet detalharam uma campanha do trojan bancário Casbaneiro mirando clientes de bancos na Argentina, Peru, Colômbia e México — e o método usado é daqueles que funcionam especialmente bem dentro de empresas.

A isca: uma cobrança que parece real

Tudo começa por e-mail, com um PDF que cria urgência: uma fatura em aberto, uma cobrança vencida, um suposto procedimento judicial. O documento traz o endereço de e-mail do próprio destinatário escrito nele, um detalhe pequeno que faz a mensagem parecer endereçada e legítima.

Quem clica no link do documento passa por um filtro: o site verifica a localização de quem clicou. Visitantes de fora dos países-alvo são mandados para o Google ou o YouTube, como se nada houvesse. Só o alvo certo recebe o arquivo compactado com o golpe. É uma forma esperta de escapar da análise de pesquisadores em outros países.

A parte mais engenhosa: ele espera

Depois de instalado — usando um programa legítimo de automação para se disfarçar —, o trojan não faz nada. Fica em silêncio, sem se comunicar com os criminosos, sem gerar tráfego suspeito, sem chamar atenção do antivírus.

Ele só acorda quando a vítima abre o site de um banco da lista de alvos. Nesse momento, ativa a comunicação com o servidor do criminoso e pode exibir uma janela falsa sobre a tela do banco para capturar senha e código de acesso. Também coleta contatos e dados de remetentes e destinatários do Outlook — combustível para o próximo golpe, agora partindo de um endereço conhecido da vítima.

Esse comportamento de espera é justamente o que dificulta a detecção: nos primeiros dias, a máquina infectada se comporta como qualquer outra.

Por que o financeiro é o alvo ideal

Pense na rotina de quem trabalha com contas a pagar: dezenas de cobranças por dia, de fornecedores variados, muitas de remetentes que a pessoa nunca viu. Abrir PDF de cobrança é literalmente o trabalho. Não adianta pedir para “desconfiar de anexos” a quem recebe cem por dia.

Por isso a defesa aqui precisa ser estrutural, e não de força de vontade:

• Segundo canal para pagamento. Toda mudança de dados bancários de fornecedor confirmada por telefone, em número já cadastrado. Essa única regra derruba a maior parte das fraudes de cobrança.
• Cobrança chega por onde a empresa combinou. Portal de fornecedores ou um endereço específico, com processo definido. O que vem de fora desse caminho merece um segundo olhar.
• Segundo fator nos acessos bancários, sempre. A janela falsa captura o que você digita; o segundo fator em outro aparelho encarece muito o golpe.
• Olho no que roda nas máquinas do financeiro. Programa de automação instalado sem motivo, aplicativo desconhecido iniciando junto com o sistema — esses sinais aparecem antes do prejuízo. É a área da empresa onde vigilância técnica rende mais.

O Casbaneiro não é novo, e é exatamente por isso que serve de exemplo: a técnica muda de roupa a cada campanha, mas a porta de entrada continua sendo uma cobrança que parece urgente, chegando em uma caixa de entrada onde cobranças são esperadas o dia inteiro.

Fontes

• Fortinet FortiGuard Labs — análise da campanha do Casbaneiro: fortinet.com/blog/threat-research
• Foto de capa: área de autoatendimento de uma agência bancária no Brasil — Rachmaninoff, CC BY-SA 4.0, via Wikimedia Commons
• Segunda imagem: logotipo da Fortinet, empresa que analisou a campanha — Fortinet, domínio público, via Wikimedia Commons