Il Trojan Bancario Casbaneiro Utilizza Server Distribuiti per la Ricezione dei Dati

Sommario

Casbaneiro è un trojan bancario che prende di mira gli utenti in America Latina tramite email di phishing e file PDF dannosi. Il malware segue una catena di infezione multi-stadio coinvolgendo downloader HTA e loader AutoIt per eludere il rilevamento. Utilizza anche geofencing e comunicazioni C2 distribuite e non standard per nascondere attività malevole e rubare informazioni finanziarie sensibili.

Indagine

I laboratori FortiGuard hanno osservato la campagna nell’agosto 2026, identificando loader in più fasi e geofencing utilizzato per limitare la distribuzione a regioni selezionate. L’indagine ha rivelato un comportamento di rete complesso in cui server distribuiti restituiscono intenzionalmente risposte HTTP 403 Forbidden per fuorviare gli analisti. Casbaneiro utilizza anche tecniche di iniezione specializzate che prendono di mira processi Windows legittimi come RegSvcs.exe and mobsync.exe.

Mitigazione

Le organizzazioni dovrebbero implementare un robusto filtro email per bloccare i tentativi di phishing e utilizzare servizi CDR (Content Disarm and Reconstruction) per neutralizzare i contenuti dannosi dei documenti. La protezione degli endpoint deve essere aggiornata con le firme attuali di Casbaneiro. I team di sicurezza dovrebbero anche monitorare modelli di esecuzione HTA o AutoIt insoliti che potrebbero indicare le fasi iniziali di infezione.

Risposta

Se viene rilevata attività di Casbaneiro, gli endpoint Windows interessati dovrebbero essere isolati immediatamente per prevenire ulteriore esfiltrazione di dati o movimento laterale. I responsabili dovrebbero cercare marker di infezione come il .Outlook file in %APPDATA% o chiavi di registro denominate MD5 in HKCUSOFTWARE. I log di rete dovrebbero essere rivisti per richieste HTTP malformate prive di intestazioni Host o contenenti Content-Length insolitamente grandi.

Esecuzione della simulazione

• Narrazione dell’attacco e comandi: L’avversario mira a stabilire un punto d’appoggio su una postazione di lavoro Windows target mascherandosi come attività di sistema legittima. Seguendo il piano di Casbaneiro, l’attaccante ha rilasciato un payload compilato AutoIt. Per eludere il rilevamento, l’attaccante esegue questo payload sfruttando regsvcs.exe per ospitare la logica malevola, passando l’identificatore “AutoIt” nella riga di comando per eseguire lo script. Questo metodo specifico mira a sfruttare la fiducia riposta nei binari firmati di Microsoft.

• Script di test di regressione:

  # Simulazione di TTP di Casbaneiro: Esecuzione di un payload AutoIt tramite regsvcs.exe
  # Questo comando è progettato per attivare le condizioni 'selection_image' e 'selection_command'.
  
  $targetProcess = "C:WindowsSystem32regsvcs.exe"
  $maliciousArg = "AutoIt_Payload_Execution_Module.au3"
  
  Write-Host "[+] Avvio simulazione: Esecuzione di $targetProcess con $maliciousArg" -ForegroundColor Cyan
  
  # Simula l'esecuzione
  Start-Process -FilePath $targetProcess -ArgumentList "/u $maliciousArg" -WindowStyle Hidden
  
  Write-Host "[+] Comando di simulazione inviato. Controlla SIEM per avvisi." -ForegroundColor Green

• Comandi di pulizia:

  # Pulizia: Termina eventuali processi regsvcs residui creati durante il test.
  Stop-Process -Name "regsvcs" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completa: processi regsvcs terminati." -ForegroundColor Yellow