Um trojan bancário com origem no Brasil está a atacar utilizadores de Windows em Portugal e Espanha desde maio de 2026, numa campanha identificada pelos investigadores da FortiGuard Labs da Fortinet. O malware, conhecido como Ousaban — também rastreado como Javali —, utiliza documentos PDF fraudulentos, técnicas de esteganografia e geofencing para se instalar discretamente nos computadores das vítimas e roubar credenciais de acesso a serviços bancários. Entre os alvos confirmados está a Caixa Geral de Depósitos, o que torna esta ameaça particularmente relevante para os cidadãos portugueses.
Resposta rápida: O Ousaban é um trojan bancário brasileiro que, desde maio de 2026, ataca utilizadores de Windows em Portugal e Espanha. Distribui-se através de PDFs fraudulentos e usa esteganografia e geofencing para escapar à deteção, roubando credenciais bancárias — a Caixa Geral de Depósitos está entre os alvos confirmados. Como se proteger: não abrir PDFs nem executar ficheiros de origem desconhecida, desconfiar de erros que peçam para colar comandos, e reportar suspeitas ao CERT.PT.
Um trojan que veio do Brasil e chegou à Península Ibérica
O Ousaban não é uma ameaça nova: pertence ao grupo de trojans bancários brasileiros que a Kaspersky classificou como “Tetrade”, a par do Grandoreiro, do Guildma e do Melcoz. Os quatro começaram no Brasil e expandiram-se para a Península Ibérica, partilhando código ao longo do processo. O que distingue a campanha agora documentada é o grau de sofisticação técnica e a capacidade de evitar a deteção por parte de investigadores e ferramentas de segurança.
Em maio de 2026, a FortiGuard Labs identificou um ataque dirigido a utilizadores em Espanha e Portugal envolvendo o trojan bancário Ousaban — um malware que tem estado ativo no Brasil e se propaga através de um descarregador MSI. O malware surge agora reconfigurado com camadas adicionais de evasão, concebidas para manter o acesso às vítimas pretendidas e afastar investigadores.
Como funciona o ataque: do PDF falso à tomada de controlo
A cadeia de infeção começa de forma aparentemente simples, mas esconde uma sequência técnica elaborada. O ataque inicia-se com um PDF de phishing disfarçado de ficheiro corrompido. O documento instrui a vítima a premir um botão “Atualizar”, que abre uma página web maliciosa a fazer-se passar por um portal de documentos fiscais. A página pode ser aberta automaticamente por JavaScript escondido no próprio PDF, sem que o utilizador precise sequer de clicar.
O passo seguinte é o geofencing: a página funciona como um rigoroso guardião, imitando uma fonte legítima de documentos fiscais ou instaladores de sistema, enquanto realiza verificações exaustivas ao ambiente do utilizador. Para garantir que apenas os alvos pretendidos recebem o malware, o servidor verifica o endereço IP, o fuso horário e as definições de língua. Quem acede a partir de fora de Portugal ou Espanha não prossegue na cadeia de infeção — o que torna a ameaça praticamente invisível para investigadores que operem noutras geografias.
Quando o utilizador passa nesta verificação, entra em ação a esteganografia. O servidor entrega um ficheiro VBScript, que desencadeia o descarregamento de uma imagem esteganográfica com a aparência de um ícone de PDF. Escondido dentro dessa imagem está um arquivo ZIP com o payload final do Ousaban. O script extrai o payload para a pasta temporária do sistema, executa-o e elimina imediatamente os ficheiros originais para minimizar os rastros forenses.
Segundo a investigação da Fortinet, o Ousaban estabelece persistência criando um valor de registo com o nome “Financeiro” e depositando um ficheiro de configuração com marca temporal. A partir desse momento, o malware opera silenciosamente em segundo plano.
O que o Ousaban faz depois de instalado
O Ousaban fica em silêncio no computador Windows e aguarda que o utilizador abra um sítio bancário. Quando uma instituição visada carrega, o malware pode capturar capturas de ecrã e teclas premidas, manipular a área de transferência, apresentar mensagens falsas e entregar o controlo remoto ao atacante.
Uma vez ativo, o Ousaban monitoriza o acesso a dezenas de serviços bancários visados, incluindo o Santander, o BBVA, o CaixaBank, o Revolut e a Caixa Geral de Depósitos. A lista de instituições é desencriptada em memória através de um algoritmo de encriptação personalizado: o malware desencripta uma lista incorporada de cadeias de texto relacionadas com bancos, utilizando um algoritmo XOR personalizado de deslocamento de bytes familiar nos trojans bancários latino-americanos, como o Casbaneiro.
Para o servidor de comando e controlo, o Ousaban recorre a uma técnica particularmente difícil de bloquear: o malware não recorre a um endereço fixo — resolve um domínio que muda diariamente, derivado de um hash da data atual obtido a partir de uma página de erro do Google, enquanto uma ligação de chamariz no Pastebin aponta os analistas para um endereço IP privado sem saída. Bloquear o endereço de ontem é, portanto, inútil.
Uma ameaça com historial: o Grandoreiro também continua ativo
O Ousaban não está sozinho no panorama de ameaças ibéricas de origem brasileira. O Grandoreiro, o mais conhecido do grupo, sobreviveu a uma operação de desmantelamento coordenada pela Interpol em janeiro de 2024 e regressou à atividade poucos meses depois, mantendo-se ativo contra alvos europeus. Variantes anteriores desta operação Ousaban utilizaram o mesmo engodo para distribuir um descarregador baseado em Rust, e no final de 2025 os operadores adicionaram uma técnica ClickFix que enganava a vítima para colar um comando malicioso na caixa de execução do Windows, sob o pretexto de corrigir um erro.
O contexto europeu é igualmente preocupante. O ToxicPanda, um malware bancário persistente para Android, continua a evoluir e a expandir a sua presença na Europa. Após focar inicialmente a Itália em 2024, direcionou as suas campanhas para Portugal e Espanha em 2025, sinalizando uma mudança geográfica deliberada por parte dos agentes de ameaça.
Como se proteger: sinais de alerta e medidas práticas
A análise da Fortinet permite identificar vários comportamentos de risco a evitar. O primeiro sinal de alerta é precisamente o engodo inicial:
- PDFs “corrompidos” com botão de atualização: qualquer PDF ou mensagem de correio eletrónico que afirme que um ficheiro está corrompido e instrua a premir “Atualizar” deve ser tratado como hostil.
- Técnica ClickFix: o mesmo se aplica a pedidos que solicitem ao utilizador que cole um comando para corrigir um erro — uma técnica que a Fortinet associa à atividade recente do Ousaban.
- Portais fiscais inesperados: páginas que pedem validação de identidade após a abertura de um PDF devem ser verificadas diretamente no sítio oficial da entidade.
- Comportamentos suspeitos no browser: janelas sobrepostas a páginas bancárias, pedidos de dados fora do fluxo habitual de autenticação ou lentidão inexplicada durante sessões bancárias são sinais de possível comprometimento.
Do ponto de vista técnico, malware com geofencing pode parecer ausente a quem o analisa fora da região-alvo, pelo que as equipas de segurança devem correlacionar registos de endpoint, correio, DNS e proxy em vez de confiarem exclusivamente em resultados de sandboxes.
Contexto regulatório e nacional
A campanha do Ousaban insere-se num padrão mais amplo de ameaças ao setor financeiro que o Centro Nacional de Cibersegurança (CNCS) acompanha de perto. O CERT.PT coordena a resposta a incidentes envolvendo entidades da Administração Pública, operadores de infraestruturas críticas, operadores de serviços essenciais e prestadores de serviços digitais, bem como qualquer dispositivo pertencente a uma rede ou bloco de endereçamento atribuído a um operador ou entidade com sede em território português.
O setor bancário é classificado em Portugal como operador de serviços essenciais, o que implica obrigações específicas ao abrigo do Regime Jurídico da Cibersegurança — transposto pelo Decreto-Lei n.º 125/2025, que incorpora na ordem jurídica nacional a Diretiva NIS2. Este quadro legal exige que as entidades abrangidas adotem medidas técnicas e organizativas adequadas à gestão dos riscos para a segurança das redes e dos sistemas de informação, incluindo a deteção e resposta a incidentes de malware como o Ousaban. Para os cidadãos, a principal linha de defesa continua a ser a literacia digital: reconhecer os engodos, não executar ficheiros de origens desconhecidas e reportar situações suspeitas ao CERT.PT através do endereço [email protected].
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Fortinet/FortiGuard Labs, pela Infosecurity Magazine e pela The Next Web, com referência ao quadro institucional do CNCS/CERT.PT.