スペイン・ポルトガルの銀行利用者を標的としたOusaban攻撃が進行中

• 
• シェア
• ツイートする
  一覧
• 

米国時間2026年7月1日に掲載されたフォーティネットブログの抄訳です。

影響を受けるプラットフォーム：Microsoft Windows
影響を受けるユーザー　　　　：Microsoft Windows
影響　　　　　　　　　　　　：窃取された情報が今後の攻撃に悪用される可能性
深刻度　　　　　　　　　　　：高

2026年5月、FortiGuard Labsは、金融機関を標的にするトロイの木馬であるOusabanを用いてスペインおよびポルトガルのユーザーを標的とする攻撃を確認しました。このマルウェアはこれまでブラジルで活動が確認されており、MSIダウンローダーを介して拡散します。悪意のあるペイロードはDLLファイルで構成されており、DLLサイドローディングまたはプロセスインジェクションによって実行されます。

今回のキャンペーンでは、脅威アクターは主にスペインおよびポルトガルのユーザーを標的としています。図1は、攻撃のフローを示しています。フィッシング用のPDFは、被害者を騙して悪意のあるWebページへ誘導します。このWebページで、ユーザーの環境がスキャンされます。ユーザーがスペインまたはポルトガルにいると判定された場合、Webページは次の攻撃段階を開始するためのVBSファイルをダウンロードします。最終的なペイロードはEXEファイルであり、被害者のコンピューターにドロップされた後、このVBSスクリプトによって実行されます。

PDF

図2に示すように、このフィッシング用のPDFは破損したファイルのように装っており、被害者に更新を促す偽のメッセージボックスが表示されます。「Atualizar」ボタン（日本語では「更新」の意味）をクリックすると、悪意のあるWebページへ誘導されます。このPDFには、エラーメッセージを表示した後に同じWebページへアクセスするJavaScriptコードも含まれています。このJavaScriptコードは、検知を回避するために16進エスケープされています。

HTML

攻撃の第2段階では、税務文書やシステムインストーラの正規の配布元を装ったWebページが使用されます。このWebページの以前のバージョンでは、アクセス制御を適用するための詳細なコードが使用されていました。Webページは、IPアドレスとデバイスデータをチェックすることで、不正なユーザーによるアクセスをブロックし、意図した受信者だけがファイルをダウンロードできるようにしています。さらに、言語設定、タイムゾーン、およびIPアドレスの詳細を確認し、スペインおよびポルトガルのユーザーだけがアクセスするよう制限しています。この地域制限の回避を防ぐため、このコードは組織の情報に「vpn」などのキーワードが含まれているか確認し、VPNに接続しているIPアドレスもブロックします。

さらに、ユーザーの動作や、画面解像度、ブラウザのレンダリング特性、フォント列挙といったデバイス特性を評価することで、ブラウザ機能が限定される傾向があるサンドボックスやクローラーなどの自動化ツールを識別してブロックします。

環境チェックを通過しなかった場合は、50%の確率でエラーメッセージを表示し、残り50%の確率で偽ファイルをダウンロードします。

今回の新しいバージョンでは、分析回避コードは使用されていません。代わりに、環境情報が脅威アクターへ送信され、アクセス元がスペインまたはポルトガルでない場合、Webページから 「アクセスが拒否されました。このサービスはお住まいの国からは利用できません」 というスペイン語のメッセージを含むPDFがダウンロードされます。環境チェックをサーバー側で実施することで、この脅威アクターは固有の指標を隠蔽し、アナリストがチェックで使用する条件を特定しにくくしています。

VBS

ユーザー環境がサーバー側のチェックを通過すると、VBSファイルがダウンロードされます。このVBSファイルには、多数の無害な関数呼び出しが含まれています。悪意のあるコードは、PDFアイコンに見せかけたステガノグラフィ画像をダウンロードします。続いて、その画像からZIPファイルを抽出し、Ousabanのペイロードを取得します。画像ファイルとZIPアーカイブはTempフォルダにドロップされ、ペイロードはC:\SysMain_5874288にドロップされます。実行後、痕跡を最小限に抑えるため、ZIPファイル、画像ファイル、およびVBSファイルは削除されます。

Ousaban

実行されると、Ousabanは永続化のために、CurrentVersion\RunレジストリキーにFinanceiro（日本語で「金融」の意味）という名前のレジストリ値を作成します。また、maisum.datという名前の空のファイルを作成し、その作成時刻をインストールのタイムスタンプとして使用します。続いて、銀行に関連する文字列を復号し、その文字列を使用して、被害者が特定の銀行サービスへアクセスしているかどうかを確認します。対象となる銀行の一覧を以下の図に示します。

これらの文字列は、Casbaneiroなどのラテンアメリカの金融機関を標的にするトロイの木馬で広く使用されている独自のアルゴリズムによって暗号化されています。

暗号化されたデータの先頭バイトは、暗号化時に生成されたランダムな値となっており、これが基準オフセットとして使用されます。暗号化は2バイト目から開始されます。2バイト目は対応するキー文字でXOR演算され、その結果から基準オフセットを減算した値が復号結果となります。その後、2バイト目の値が新しい基準オフセットとなり、同じ処理が次のバイトに対して繰り返されます。現在のバイトと対応するキーバイトをXOR演算した結果が現在の基準オフセットより小さい場合は、XOR演算の結果と基準オフセットとの差に0xFFを追加します。

このようにランダムな値を含めることで、同じ平文であっても毎回異なる暗号テキストが生成され、解析がさらに複雑になっています。例えば、次のスクリーンショットはハートビートパケットを示しています。サーバーから送信されるデータはいずれも復号すると#ON-LINE#となり、クライアントからの応答はいずれも#StrPingOK#となります。しかし、暗号化されたデータはいずれも異なる文字列になっています。

以前の亜種では、設定情報はリモートに保存されていました。今回の攻撃では、OusabanはPastebinへのリンクを復号し、そこからプライベートIPアドレスを含む設定データを取得します。

ただし、OusabanはPastebinの投稿から実際のIPアドレスを取得するわけではありません。代わりに、被害者がWebブラウザから特定の銀行サービスへアクセスしたことを検知すると、毎日変化するホスト名をDNSルックアップすることで、C2サーバーのIPアドレスを解決します。これらのホスト名は、DDNSで管理されているドメインに属しています。サブドメインは、ハードコードされた文字列 「aki」 と、MD5ハッシュ値の先頭8文字で構成されています。このMD5ハッシュは、ハードコードされた文字列「a9f8b7c6e5d4f3a2b1c8d7e6f5g4h3i2j1k9l8m7n6o5p4q」と現在の日付を連結した文字列から生成されます。現在の日付を取得するため、Ousabanは意図的にGoogleの「Automated Queries」ページへアクセスし、そのページから日付を抽出します。

ホスト名の解決に成功すると、OusabanはC2サーバーとの通信を確立します。基本的なコマンドは以下のとおりです。

#Convite#	ユーザー情報を収集する
#Handle#	被害者IDを割り当てる
#ON-LINE#	ハートビート
#xyScree#	画面解像度を取得する
#Iniciar#	スクリーンショットの取得とリモート制御機能を開始する

サーバーとOusabanとのトラフィックの大半は、前述したアルゴリズムを用いて暗号化されています。一部のメッセージは、コマンドとその引数で構成されています。例えば、#Convite#コマンドを受信した際にOusabanが返す応答を以下に示します。コマンドと引数は <#>で区切られています。

#Iniciar#コマンドは、スクリーンショットの取得を開始するとともに、その後の操作に必要な各種機能を初期化します。これには、マウスおよびキーボードの制御、クリップボードインジェクション、キーロガーの実装、さらに被害者を欺くためのより現実味のあるシナリオ演出などが含まれます。以下は、C2サーバーからのコマンドへの応答で生成される偽メッセージの例です。

Pastebin

プライベートIPアドレスを含むPastebinへの投稿は、C2サーバーのIPアドレスを取得する実際の手法から注意をそらすためのおとりと考えられます。しかし、この投稿は脅威ハンティングのコンテキストとしては依然として有用です。というのも、2025年後半に確認されたOusabanの亜種も、この投稿にアクセスしていたためです。以下に、攻撃フローを示します。

初期の攻撃ベクトルには、2つのパターンがあります。1つ目は、ClickFixの手法を用いて被害者をだまし、悪意のあるコードを実行させるものです。このコードはVBSファイルをダウンロードし、そのVBSファイルがさらにMSIインストーラを取得します。もう1つは、PDFファイルを利用して被害者をフィッシングWebページへ誘導し、そこでMSIインストーラを配信するものです。MSIインストーラには、Ousabanのペイロードをダウンロードして実行するRustベースのダウンローダーが含まれています。

結論

脅威アクターは、マルウェアの配信方法を継続的に進化させ改良しています。今回のキャンペーンでは、ジオフェンシングや環境チェックなど、さまざまな手法を用いてマルウェアへのアクセスを制限し、標的以外の環境にマルウェアが配信されることを防ぎ、解析や検知のリスクを低減しています。配信方法に加え、Ousabanは毎日変化するドメインを利用してC2サーバーのIPアドレスを取得し、従来型のC2設定をおとりとして利用しています。さらに、その暗号化アルゴリズムは長年にわたって使用されており、現在でもセキュリティシステムによる検知を回避する上で有効になっています。

このマルウェアは、高度な配信方法と回避手法を数多く備えています。FortiGuardは、今後もこれらの攻撃キャンペーンを継続的に監視し、必要に応じて適切な保護機能を提供していきます。

フォーティネットのソリューション

本レポートで説明したマルウェアは、FortiGuardアンチウイルスにより以下の脅威として検知およびブロックされます。

W32/Ousaban.EY!tr.spy
VBS/Agent.TPX!tr.dldr
PDF/Agent.STG!tr

FortiGate、FortiMail、FortiClient、およびFortiEDRは、FortiGuardアンチウイルスサービスをサポートしています。FortiGuardアンチウイルスエンジンは、これらすべてのソリューションに組み込まれています。これらの製品を最新のシグネチャを利用して運用しているお客様は、本レポートに記載されているマルウェアコンポーネントから保護されます。

FortiMailは、このフィッシングメールを検知し、件名に「virus detected」を付与します。さらに、フォーティネットのFortiMailに組み込まれたFortiSandboxが提供するリアルタイムのフィッシング対策と、Webフィルタリングおよびアンチウイルス機能により、既知 / 未知のフィッシング攻撃に対する高度な保護を提供します。

FortiGateとFortiMailの両方で動作するFortiGuard CDR（コンテンツ無害化）サービスは、このドキュメントに含まれる悪意のあるマクロを無効化します。

また、フォーティネットが無償で提供するNSEトレーニングモジュール「フォーティネット認定ファンダメンタルズ（FCF）」の実施もご検討ください。このモジュールでは、エンドユーザーはさまざまなフィッシング攻撃を識別して自らを保護する方法を学習できます。

FortiGuard IPレピュテーションサービスおよびボットネット対策セキュリティサービスは、フォーティネット分散ネットワークからの悪意あるIPデータを集約し、これらの攻撃をプロアクティブにブロックします。この分散ネットワークでは、脅威センサー、CERT、MITRE、協力関係にある他社、その他のグローバルソースが連携し、悪意ある送信元に関する最新の脅威インテリジェンスを提供します。

このようなサイバーセキュリティの脅威の影響を受けていることが疑われる場合は、グローバルFortiGuardインシデントレスポンスチームにお問い合わせください。

IOC（Indicators of Compromise：侵害指標）

ドメイン
faturanova[.]xyz
facture-in[.]pages[.]dev
facture-arsys[.]duckdns[.]org
faturanova[.]duckdns[.]org
controlfacturas[.]site

IP
213[.]159[.]64[.]191
162[.]33[.]179[.]46
91[.]92[.]240[.]140
78[.]40[.]209[.]32

PDF
6bc2e11b0917f47d0557288c4f0cb20bd7589185943b989a969fdc6d3704ee73
540ee1936e61d2344b5ebc93485589a351ec2f113a9b4940ae16f3baa4807392
e2f0c2d4c1552cd81fa012043e4a5ac832582b639b7b6b7eccc0c4802d7a8ad8
9d07a83cf89685651ea8992047ae694c24f6ddef193044357debd15ce07a64fe
4c9fdc2823da505ef339d43c6ad38499b7e3447736733e42b5ab6b1afcfd42aa
5e06af187b45476ade0d953e834fced6197d0a33ac60c2575877660e26ab15e8

HTML
65c1a998bac48e02b52b1c850cd500e9fb87521e21755c3a4a491243f5f9a700
9e81ade09cc18f0fc09d73e72d2e0bffad02f52fdcc26553e473cee8cabc1567
1e77992666acbbfa0d01fcefa9cc8fbdac291e0681b35745be27c6dfb159a375
fadbb8061715128bebecf7bc59132b6bb04fe8cc39b965aa5b8722dffe28d7e7

VBS
5a2ed557c357ba8f96f2d55a8a00695987806b5df766cd1dfdab0cbed111774a
19ac18a50abb48dc0ea9524850acfaec49359e6b3bcc67c6193c2d56da812c71
48723a33bab89f174750576f9a62da35b3b9e5ac31a5a8f1ce9859a1b35bf8b8

MSI
21b24f7ee1f6bdbbb670f0394d66009ee0daa8ced57048298da715e88f7a7cdd
d4eb4ff02df659fdeec17d36b77084627469623bb3c7d16383d257404b52d1c3

EXE
ffb9eb47cc0cb2f43e04a10dc84df13d04bca1ebacbe47fad0b669728de2f59c
18fd38988d58dd930f5992d448cc09a9400c1eafba76b820b9a83239ac48cf4e
4ca2c863d740bb7022776dccabd8ae34bb9998768928042d76ebcf08984eefcb
5837e47198a20877e1b04b270c36d9194206ee38d4f32fe3151b3c3b396c4f0d
e6e78eb2e9bd41a4bc62f7ad54d095ea9813864bebe37172ae30a1afa631fe14

この記事の編集者は以下の記事もオススメしています

• sponsored

  サイバー犯罪を阻止するための強力なインセンティブ「サイバー犯罪懸賞金プログラム」

• sponsored

  JavaScriptを用いて機密データを収集するPureLogs亜種を分析

• sponsored

  エンドポイントの脅威を検知し可視化する「FortiEDR」　AV-Comparatives 2026認証を取得