搜索

[27967] 2019-12-19_TrickBot的演变历程

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-12-19_TrickBot的演变历程 T r i c k B o t 的 演 变 历 程 O t s 安 全   2 0 1 9 - 1 2 - 1 9 一 、 背 景 一 、 背 景 T r i c k B o t 银 行 木 马 首 次 出 现 在 2 0 1 6 年 ， 主 要 是 通 过 挂 马 网 页 、 钓 鱼 邮 件 的 方 式 进 行 传 播 ， 最 终 进 行 窃 取 网 银 账 号 密 码 等 操 作 。 在 此 之 前 ， 深 信 服 安 全 团 队 就 对 T r i c k B o t 银 行 木 马 进 行 跟 踪 ， 并 发 布 了 分 析 文 章 《 T r i c k B o t 银 行 木 马 归 来 袭 击 全 球 金 融 机 构 》 与 《 T r i c k B o t 银 行 木 马 下 发 R y u k 勒 索 病 毒 企 业 损 失 惨 重 》 ， 鉴 于 该 家 族 近 期 较 为 活 跃 ， 我 们 从 其 演 变 历 程 的 角 度 给 大 家 揭 晓 T r i c k B o t 银 行 木 马 背 后 那 些 事 。 二 、 初 出 江 湖 二 、 初 出 江 湖 2 0 1 6 年 9 月 T r i c k B o t 银 行 木 马 在 针 对 澳 大 利 亚 银 行 和 金 融 服 务 客 户 时 首 次 被 发 现 ， 开 始 进 入 安 全 研 究 员 的 视 线 ， 并 且 发 现 T r i c k B o t 与 D y r e 有 非 常 多 的 相 似 之 处 ， 具 有 许 多 相 同 的 功 能 ， 不 同 之 处 在 于 编 码 方 式 （ D y r e 主 要 使 用 C 语 言 、 T r i c k B o t 主 要 使 用 C + + ） 、 恶 意 行 为 （ T r i c k B o t 还 会 窃 取 加 密 货 币 钱 包 ） 、 功 能 模 块 （ 窃 取 O p e n S S H 私 钥 和 O p e n V P N 密 码 和 配 置 等 主 流 应 用 程 序 ） 。 T r i c k B o t 银 行 木 马 从 2 0 1 6 年 出 现 到 至 今 ， 在 整 体 的 病 毒 执 行 过 程 是 趋 于 固 定 的 ， 表 现 如 下 ： 1 .   T r i c k B o t 银 行 木 马 运 行 后 ， 首 先 从 资 源 段 加 载 核 心 代 码 ， 然 后 会 在 % A p p D a t a % 目 录 下 生 成 银 行 木 马 模 块 核 心 组 件 模 块 、 主 机 I D 等 信 息 ， 并 且 通 过 添 加 为 W i n d o w s   T a s k 来 实 现 持 久 化 。 2 .   接 着 ， 从 C & C 下 载 加 密 后 的 核 心 功 能 模 块 到 % A p p D a t a % / M o d u l e s 里 ， 同 时 启 动 多 个 s v c h o s t 进 程 ， 然 后 将 相 应 的 模 块 注 入 到 s v c h o s t 进 程 ， 这 时 病 毒 模 块 会 在 受 害 者 访 问 各 大 银 行 网 站 时 盗 取 网 站 登 录 凭 证 等 。 核 心 模 块 如 ： l i n j e c t D l l 3 2 / i n j e c t D l l 6 4 ： 注 入 浏 览 器 进 程 ， 窃 取 银 行 网 站 登 录 凭 据 l s y s t e m i n f o 3 2 / s y s t e m i n f o 6 4 ： 收 集 主 机 基 本 信 息 3 .   T r i c k B o t 通 过 H T T P   p o s t 请 求 发 送 命 令 到 C & C ， 格 式 为   / g r o u p _ t a g / c l i e n t _ i d / 命 令 I D 三 、 进 击 的 三 、 进 击 的 T r i c k B o t 深 谙 “ 发 展 才 是 硬 道 理 ” 的 T r i c k B o t 银 行 木 马 ， 从 2 0 1 6 年 到 2 0 1 9 年 ， 不 断 更 新 功 能 模 块 和 提 高 对 抗 成 本 ， 甚 至 联 合 其 他 黑 产 团 伙 进 行 作 案 与 提 供 访 问 即 服 务 ， 详 情 如 下 所 示 ：
功 能 模 块 愈 发 完 整 截 止 2 0 1 9 年 ， T r i c k B o t 银 行 木 马 已 经 积 累 有 1 0 个 功 能 模 块 ， 用 于 窃 取 O p e n S S H 私 钥 和 O p e n V P N 密 码 和 配 置 等 ， 具 体 详 细 如 下 所 示 ： 增 加 对 抗 成 本 增 加 对 抗 成 本 –   在 最 初 的 版 本 的 基 础 上 ， 加 强 了 安 全 对 抗 成 本 ， 如 关 闭 W i n d o w s   D e f e n d e r 提 高 隐 蔽 性 、 使 用 无 文 件 技 术 增 加 溯 源 成 本 等 。 ·   跨 团 伙 作 案 除 了 自 身 发 展 ， T r i c k B o t 背 后 的 运 营 团 队 思 路 也 独 特 。 通 常 情 况 下 ， 恶 意 软 件 之 间 是 互 为 竞 争 的 状 态 ， 但 T r i c k B o t 的 运 营 团 队 显 然 不 这 么 认 为 ：
–   在 2 0 1 7 年 7 月 ， T r i c k B o t   银 行 木 马 携 手 僵 尸 网 络   N e c u r s   ， 针 对 欧 洲 、 加 拿 大 、 新 西 兰 、 新 加 坡 等 国 的 金 融 机 构 发 起 攻 击 ； –   在 2 0 1 8 年 6 月 ， 出 现 感 染 I c e d I D 木 马 的 主 机 在 下 载 T r i c k B o t 银 行 木 马 ； –   在 2 0 1 9 年 7 月 ， 深 信 服 安 全 团 队 捕 获 到 一 起 利 用 T r i c k B o t 下 发 R y u k 勒 索 病 毒 的 攻 击 事 件 ； ·   访 问 即 服 务 ？ –   在 2 0 1 9 年 7 月 ， 深 信 服 安 全 团 队 在 分 析 一 起 R y u k 勒 索 病 毒 攻 击 事 件 时 ， 发 现 不 管 是 被 勒 索 加 密 的 或 未 被 勒 索 加 密 的 内 网 主 机 均 在 半 年 前 大 量 感 染 T r i c k B o t 银 行 木 马 ， 并 且 系 统 进 程 存 在 大 量 不 正 常 的 外 连 行 为 ： –   与 此 同 时 ， 于 2 0 1 9 年 F i r e E y e 在 报 告 里 提 出 ： 1 .   存 在 T r i c k B o t 木 马 在 感 染 主 机 后 ， 会 潜 伏 一 段 时 间 ， 并 随 后 向 R y u k 勒 索 病 毒 提 供 僵 尸 网 络 的 访 问 权 限 。 2 .   F i r e E y e 认 为 T r i c k B o t 对 外 提 供 僵 尸 网 络 访 问 权 限 ， 即 访 问 即 服 务 ， 并 且 将 这 种 方 式 称 为 T E M P . M i x M a s t e r 。 综 上 内 容 ， 我 们 可 以 看 到 T r i c k B o t 银 行 木 马 的 演 变 历 程 ， 由 最 初 的 团 伙 作 案 演 变 为 跨 团 伙 作 案 ， 甚 至 有 迹 象 表 明 T r i c k B o t 已 经 在 提 供 访 问 即 服 务 。 黑 产 团 伙 趋 于 产 业 化 运 作 ， 防 护 者 更 不 应 该 只 是 单 纯 的 安 装 某 个 软 件 ， 就 指 望 着 解 决 所 有 问 题 ， 还 需 要 深 层 次 多 角 度 进 行 产 业 化 对 抗 。 四 、 安 全 建 议 四 、 安 全 建 议 T r i c k B o t 银 行 木 马 常 常 通 过 钓 鱼 邮 件 和 挂 马 网 站 的 方 式 进 行 入 侵 ，   然 后 通 过 R D P 协 议 、 S M B 协 议 等 进 行 横 向 传 播 ， 所 以 深 信 服 安 全 团 队 再 次 提 醒 广 大 用 户 ， 注 意 日 常 防 范 措 施 ： 1 .   及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 ； 切 勿 打 开 来 源 不 明 的 邮 件 附 件 和 软 件 ； 平 常 使 用 强 密 码 。 2 .   如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P 。 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 。 原 文 地 址 ：     h t t p s : / / w w w . 4 h o u . c o m / w e b / 2 1 9 9 0 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理