Ousaban Bankacılık Trojanı İspanyol Banka Kullanıcılarını Nasıl Hedef Alıyor?

Ousaban bankacılık trojanı, İspanya ve Portekiz’deki Windows kullanıcılarını hedef alarak siber güvenlik dünyasında yeni bir endişe dalgası yaratıyor. Bu kötü niyetli yazılım, sahte PDF tuzaklarıyla başlayan karmaşık bir saldırı zinciriyle, kurbanların bankacılık bilgilerini ele geçirmeyi amaçlıyor. Peki, dijital varlıklarımız gerçekten ne kadar güvende?

Ousaban Bankacılık Trojanı Nasıl Çalışıyor?

Ousaban’ın saldırı mekanizması, kurbanı psikolojik olarak manipüle eden bir oltalama (phishing) e-postasıyla başlıyor. Bu e-postalar, genellikle bozuk bir dosya gibi görünen sahte bir PDF ekini barındırıyor. Kullanıcı, dosyayı açtığında “Atualizar” (Güncelle) düğmesine basmaya yönlendiriliyor; bu eylem, kötü amaçlı bir web sayfasını tetikliyor. PDF’in içine gizlenmiş JavaScript kodları da aynı sayfayı otomatik olarak açabiliyor, bu da kullanıcıların farkında olmadan tuzağa düşmelerini kolaylaştırıyor.

Bu web sayfası, kendisini bir vergi belgesi veya yazılım yükleyici portalı olarak tanıtıyor ve ziyaretçileri çeşitli kriterlere göre tarıyor. Saldırının eski versiyonlarında tarama, kullanıcının IP adresi, dil ayarları ve saat dilimi üzerinden tarayıcıda gerçekleştiriliyordu. VPN kullananlar engelleniyor, ekran boyutu veya yüklü yazı tipleri gibi detaylar kontrol edilerek otomatik güvenlik araçları filtreleniyordu. Ancak Ousaban, bu kontrolleri daha da sofistike bir hale getirdi.

Güncel versiyon, bu tür taramaları doğrudan saldırganın sunucusunda yapıyor. Bu sayede, kötü amaçlı yazılımın tam olarak hangi kuralları kullandığı dışarıdan görülemiyor, analizi zorlaştırıyor. İspanya veya Portekiz dışından gelen ziyaretçiler ise, kötü amaçlı yazılım indirmek yerine yalnızca İspanyolca bir “erişim reddedildi” mesajıyla karşılaşıyor. Bu coğrafi hedefleme, saldırının etkinliğini artırıyor ve güvenlik araştırmacılarının analiz süreçlerini yavaşlatıyor. Onaylanan ziyaretçiler için ise indirme süreci başlıyor ve trojanın asıl yükü devreye giriyor.

Saldırı Zincirindeki Gelişmiş Evasion Taktikleri

Ousaban, hedefe ulaştığında kendini sistemde gizlemek ve kalıcılık sağlamak için oldukça gelişmiş teknikler kullanıyor. İlk olarak, bir komut dosyası (script) indiriyor. Bu komut dosyası, bir PDF simgesi gibi görünen ancak içinde aslında bir ZIP dosyası barındıran bir görseli çekiyor; bu, “steganografi” olarak bilinen bir veri gizleme tekniği. ZIP dosyasının içinden Ousaban trojanı çıkarılıyor, çalıştırılıyor ve ardından görsel, ZIP dosyası ve komut dosyasının kendisi iz bırakmamak adına siliniyor. Bu temizlik, adli analizleri oldukça güçleştiriyor.

Ousaban, sistemde çalışmaya başladıktan sonra, Windows ile birlikte otomatik olarak başlaması için kayıt defterine “Financeiro” (Portekizce “finans”) adında bir giriş ekliyor. Bu, trojanın sistem yeniden başlatıldığında bile aktif kalmasını sağlıyor. Peki, bu denli gizlenen bir tehdidi nasıl fark edebiliriz?

Trojanın komuta ve kontrol (C2) sunucusu, bilerek zor tespit edilecek şekilde tasarlanmış durumda. İlk aşamada, bir Pastebin bağlantısı aracılığıyla bir sunucu adresi belirtilse de, bu adres aslında bir yanıltmaca. Ousaban’ın önceki kampanyaları, yapılandırma bilgilerini Google Docs gibi popüler web hizmetlerinde saklama alışkanlığına sahipti. Şimdiki versiyon ise daha da ileri gidiyor: gerçek C2 sunucusu her gün değişiyor. Kötü amaçlı yazılım, güncel tarihi bir Google sayfasından okuyor, bu tarihle sabit bir gizli anahtarı birleştirerek yeni bir web adresi oluşturuyor ve iletişim için bu adresi kullanıyor. Bu taktik, dünün sunucu adresini engellemenin neredeyse hiçbir işe yaramadığı anlamına geliyor ve savunmayı sürekli bir kedi-fare oyununa dönüştürüyor.

Brezilya Kökenli Trojanların Tehlikeli Mirası

Ousaban, aslında siber güvenlik dünyasına yabancı değil; Javali olarak da bilinen bu trojan, kökeni Brezilya’ya dayanan bir bankacılık kötü amaçlı yazılım ailesinin parçası. FortiGuard Labs tarafından Mayıs 2026’da tespit edilen bu kampanya, Kaspersky’nin yıllar önce “Tetrade” olarak adlandırdığı grubun içinde Grandoreiro, Guildma ve Melcoz gibi diğer tehlikeli trojanlarla birlikte yer alıyor. Bu aileler, Brezilya’da ortaya çıktıktan sonra İspanya ve Portekiz pazarlarına yayılarak birbirlerinden kod parçacıkları ödünç alıp adapte etmişlerdir. Örneğin, Ousaban’ın dize şifreleme şeması, Casbaneiro adlı başka bir trojan ailesi tarafından kullanılan özel şemayla tamamen aynı. Bu ne anlama geliyor? Siber suçlular arasında bilgi ve teknik paylaşımı oldukça yaygın.

Grubun en bilinen üyesi Grandoreiro, bu saldırı playbook’unun ne kadar dayanıklı olduğunu kanıtlıyor. Yıllarca süren çabalara rağmen Grandoreiro, sürekli kendini yenileyerek ve yeni yöntemler geliştirerek varlığını sürdürmeyi başardı. Bu trojanlar, bankacılık siteleri yüklendiğinde ekran görüntüleri yakalayabilir, tuş vuruşlarını kaydedebilir, panoyu manipüle edebilir, sahte mesajlar gösterebilir ve saldırgana uzaktan kontrol imkanı sunabilir. Bunlar, canlı bir bankacılık oturumunu ele geçirmek ve hesapları boşaltmak için mükemmel bir araç seti oluşturuyor. Ousaban, İspanya ve Portekiz’deki aşağıdaki bankaları izliyor:

• Banco Santander
• BBVA
• CaixaBank
• Bankinter
• Caixa Geral de Depósitos

Bu durum, yalnızca belirli coğrafyalardaki değil, küresel finansal sistemler için de potansiyel bir tehdit oluşturuyor. Türkiye’deki kullanıcılar da, özellikle yurt dışı bankacılık işlemleri yaparken veya bu tür oltalama e-postalarıyla karşılaştıklarında ekstra dikkatli olmalılar.

“Siber suçluların sürekli değişen taktikleri ve coğrafi sınırları aşan operasyonları, dijital güvenlik anlayışımızı statik bir savunma olmaktan çıkarıp, dinamik ve adaptif bir sürece dönüştürmeyi zorunlu kılıyor.”

Bu tür tehditler, sadece hedef ülkedeki bireyleri değil, uluslararası bankacılık sistemleriyle etkileşimde bulunan her kullanıcıyı potansiyel bir kurban haline getirebilir.

Bu Ousaban Tehdidi Karşısında Ne Yapmalısınız?

Ousaban bankacılık trojanı gibi gelişmiş tehditler karşısında pasif kalmak, dijital güvenliğimiz için ciddi riskler barındırır. Peki, bireysel kullanıcılar ve kurumlar bu yeni nesil siber saldırılardan korunmak için somut olarak neler yapmalı?

Öncelikle, tanımadığınız veya şüpheli görünen e-postalarla gelen PDF eklerini asla açmayın. Bir belgeyi güncellemeniz istendiğinde, doğrudan bankanızın resmi web sitesine giderek oradan işlem yapın, e-postadaki linklere veya düğmelere tıklamayın. Güvenilir bir antivirüs veya uç nokta güvenlik çözümü kullanmak, bu tür kötü amaçlı yazılımların sisteminize sızmasını büyük ölçüde engelleyebilir. Ayrıca, işletim sisteminizi ve tüm yazılımlarınızı düzenli olarak güncel tutmak, bilinen güvenlik açıklarının kapatılmasını sağlar.

İki faktörlü kimlik doğrulama (2FA), bankacılık hesaplarınız için olmazsa olmaz bir güvenlik katmanıdır. Ousaban, şifrenizi ele geçirse bile 2FA sayesinde hesabınıza yetkisiz erişim sağlaması çok daha zorlaşır. Ayrıca, internet bankacılığı işlemlerinizi her zaman güvenli ve kişisel ağlar üzerinden yapın; halka açık Wi-Fi ağları bu tür hassas işlemler için risklidir. Siber güvenlik farkındalığınızı artırmak için düzenli eğitimler almak ve en son tehditler hakkında bilgi sahibi olmak da kritik öneme sahiptir. Bu sadece sizi değil, çevrenizdeki diğer kullanıcıları da koruyacaktır. Bu tür saldırıların karmaşıklığı, basit bir güvenlik duvarının ötesinde, çok katmanlı bir savunma stratejisi gerektirir. Unutmayın, en zayıf halka genellikle insandır ve bu tür trojanlar, insan faktörünü hedef alır.