搜索

[13385] 2018-11-06_银行木马Trickbot新模块：密码抓取器分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-11-06_银行木马Trickbot新模块：密码抓取器分析 银 行 木 马 T r i c k b o t 新 模 块 ： 密 码 抓 取 器 分 析 b i n g b i n g x i a o h u   F r e e B u f   2 0 1 8 - 1 1 - 0 6 T r i c k b o t 曾 经 是 一 个 简 单 的 银 行 木 马 ， 已 经 走 过 了 漫 长 的 道 路 。 随 着 时 间 的 推 移 ， 我 们 已 经 看 到 网 络 犯 罪 分 子 曾 经 是 一 个 简 单 的 银 行 木 马 ， 已 经 走 过 了 漫 长 的 道 路 。 随 着 时 间 的 推 移 ， 我 们 已 经 看 到 网 络 犯 罪 分 子 如 何 继 续 为 此 恶 意 软 件 添 加 更 多 功 能 。 如 何 继 续 为 此 恶 意 软 件 添 加 更 多 功 能 。 去 年 三 月 ， T r i c k b o t 增 加 了 一 个 新 模 块 ， 增 加 了 检 测 规 避 和 屏 幕 锁 定 功 能 。 本 月 ， 我 们 看 到 T r i c k b o t （ 被 趋 势 科 技 检 测 为   T S P Y _ T R I C K B O T . T H O I B E A I ） 现 在 拥 有 一 个 密 码 管 理 器 模 块 （ p w g r a b 3 2 ） ， 可 以 窃 取 多 个 应 用 程 序 和 浏 览 器 的 访 问 权 限 ， 例 如 M i c r o s o f t   O u t l o o k ， F i l e z i l l a ， W i n S C P ， G o o g l e   C h r o m e ， M o z i l l a   F i r e f o x ，   I n t e r n e t   E x p l o r e r 和 M i c r o s o f t   E d g e 。 根 据 我 们 的 遥 测 技 术 ， 我 们 发 现 这 个 T r i c k b o t 变 种 主 要 影 响 了 美 国 ， 加 拿 大 和 菲 律 宾 的 用 户 。 分 析 分 析 T r i c k b o t 的 模 块 的 模 块 恶 意 软 件 作 者 继 续 使 用 T r i c k b o t 的 模 块 化 结 构   -   它 能 够 通 过 从 C ＆ C 服 务 器 下 载 新 模 块 来 不 断 更 新 自 身 ， 并 更 改 其 配 置 ， 以 便 更 新 成 熟 的 恶 意 软 件 。 为 了 更 好 地 了 解 这 种 威 胁 ， 我 们 分 析 了 T r i c k b o t 的 不 同 模 块 ， 从 我 们 本 月 看 到 的 新 的 p w g r a b 3 2 模 块 开 始 。 p w g r a b 3 2 模 块 模 块 T r i c k b o t 的 新 模 块 ， 名 为 p w g r a b 3 2 或 P a s s w o r d G r a b b e r ， 窃 取 来 自 F i l e z i l l a ， M i c r o s o f t   O u t l o o k 和 W i n S C P 等 应 用 程 序 的 凭 据 。 图 1 . 受 影 响 系 统 中 T r i c k b o t 新 模 块 p w g r a b 3 2 的 屏 幕 截 图
图 2 . 从 F i l e Z i l l a 窃 取 F T P 密 码 的 新 模 块 代 码 的 截 屏 图 3 . 窃 取 M i c r o s o f t   O u t l o o k 凭 据 的 新 模 块 代 码 的 屏 幕 截 图
图 4 . 从 开 源 F T P   W i n S C P 获 取 T r i c k b o t 密 码 的 屏 幕 截 图 除 了 从 应 用 程 序 窃 取 凭 据 外 ， 它 还 从 几 个 流 行 的 W e b 浏 览 器 窃 取 以 下 信 息 ， 例 如 G o o g l e   C h r o m e ， M o z i l l a F i r e f o x ， I n t e r n e t   E x p l o r e r 和 M i c r o s o f t   E d g e ： 用 户 名 和 密 码 互 联 网 饼 干 浏 览 记 录 自 动 填 充 H T T P 帖 子 图 5 .   T r i c k b o t 代 码 的 屏 幕 截 图 ， 其 结 构 是 从 流 行 的 W e b 浏 览 器 窃 取 密 码 应 该 注 意 的 是 ， 这 个 T r i c k b o t 变 种 不 能 从 第 三 方 密 码 管 理 器 应 用 程 序 中 窃 取 密 码 。 我 们 正 在 进 一 步 研 究 这 个 恶 意 软 件 ， 看 看 它 是 否 能 够 从 具 有 浏 览 器 插 件 的 密 码 管 理 器 中 窃 取 密 码 。 s h a r e D l l 3 2 模 块 模 块 T r i c k b o t 使 用 s h a r e D l l 3 2 模 块 帮 助 在 整 个 网 络 中 传 播 自 己 。 它 连 接 到 C ＆ C 服 务 器 h t t p ： / /   1 8 5 . 2 5 1 . 9 . 2 5 1   /   r a d i a n c e . p n g 以 下 载 自 身 的 副 本 并 将 其 另 存 为 s e t u p l o g . t m p 。
图 6 .   T r i c k b o t 的 s h a r e D l l 3 2 模 块 允 许 它 连 接 到 C ＆ C 服 务 器 以 下 载 自 身 的 副 本 图 7 . 下 载 的 文 件 保 存 为 s e t u p l o g . t m p 然 后 ， s h a r e D l l 3 2 模 块 使 用 W N e t E n u m R e s o u r c e 和 G e t C o m p u t e r N a m e W 枚 举 和 标 识 在 同 一 域 上 连 接 的 系 统 。
图 8 . 使 用 W N e t E n u m R e s o u r c e W 和 G e t C o m p u t e r N a m e W 枚 举 和 标 识 已 连 接 系 统 的 代 码 的 屏 幕 截 图 然 后 将 文 件 s e t u p l o g . t m p 复 制 到 已 发 现 的 计 算 机 或 系 统 的 管 理 共 享 中 。
图 9 . 在 管 理 共 享 中 复 制 的 s e t u p l o g . t m p 的 屏 幕 截 图 为 了 使 恶 意 软 件 更 具 持 久 性 ， 它 具 有 自 动 启 动 服 务 ， 允 许 T r i c k b o t 在 机 器 启 动 时 运 行 。 此 服 务 可 以 具 有 以 下 显 示 名 称 ： 服 务 技 术 S e r v i c e _ T e c h n o 2 工 艺 ， 服 务 2 T e c h n o s e r v i c e s 高 级   -   消 息 技 术 服 务 S e r v i c e T e c h n o 5 w o r m D l l 模 块 模 块 w o r m D l l 3 2 模 块 尝 试 使 用 N e t S e r v e r E n u m 和 L D A P 查 询 识 别 网 络 中 的 服 务 器 和 域 控 制 器 。 2 0 1 7 年 ， F l a s h p o i n t 的 安 全 研 究 人 员 首 次 观 察 到   T r i c k b o t 的 蠕 虫 传 播 能 力 。
图 1 0 . 使 用 N e t S e r v e r E n u m 标 识 域 中 工 作 站 和 服 务 器 的 代 码 的 屏 幕 截 图 图 1 1 . 使 用 L D A P 查 询 标 识 网 络 中 域 控 制 器 的 代 码 的 屏 幕 截 图
图 1 2 . 使 用 L D A P 查 询 标 识 网 络 中 不 是 域 控 制 器 的 计 算 机 的 代 码 的 屏 幕 截 图 我 们 还 发 现 ， 有 使 用 “ p y s m b ， ” 利 用 N T   L M   0 . 1 2 查 询 旧 版 W i n d o w s 操 作 系 统 和 I P C 股 可 能 S M B 协 议 的 实 现 。 应 该 注 意 的 是 ， 这 个 功 能 似 乎 仍 处 于 开 发 阶 段 。
图 1 3 . 显 示 可 能 的 S M B 通 信 的 代 码 的 屏 幕 截 图 n e t w o r k D l l 3 2 T r i c k b o t 使 用 此 加 密 模 块 扫 描 网 络 并 窃 取 相 关 网 络 信 息 。 它 执 行 以 下 命 令 以 收 集 有 关 受 感 染 系 统 的 信 息 ： 图 1 4 .   n e t w o r k D l l 3 2 模 块 执 行 的 用 于 收 集 网 络 信 息 的 命 令 的 屏 幕 截 图 W o r m d l l 3 2 模 块 模 块 W o r m d l l 3 2 是 T r i c k b o t 用 于 通 过 S M B 和 L D A P 查 询 传 播 自 身 的 加 密 模 块 。 它 与 模 块 “ w o r m D l l ” 一 起 用 于 在 网 络 上 传 播 。 i m p o r t D l l 3 2 模 块 模 块
该 模 块 负 责 窃 取 浏 览 器 数 据 ， 例 如 浏 览 历 史 记 录 ， C o o k i e 和 插 件 等 。 s y s t e m i n f o 3 2 模 块 模 块 一 旦 成 功 安 装 在 系 统 中 ， T r i c k b o t 将 收 集 系 统 信 息 ， 如 操 作 系 统 ， C P U 和 内 存 信 息 ， 用 户 帐 户 ， 已 安 装 程 序 和 服 务 的 列 表 。 m a i l s e a r c h e r 3 2 模 块 模 块 此 模 块 搜 索 受 感 染 系 统 的 文 件 以 收 集 电 子 邮 件 地 址 以 进 行 信 息 窃 取 。 收 集 垃 圾 邮 件 活 动 相 关 需 求 的 电 子 邮 件 地 址 通 常 是 恶 意 软 件 行 为 ， 但 是 ， K r y p t o s   R e s e a r c h 最 近 报 告 说 ， E m o t e t 银 行 木 马 不 只 是 窃 取 电 子 邮 件 地 址 ;   它 还 可 以 收 集 受 E m o t e t 感 染 的 设 备 上 通 过 M i c r o s o f t   O u t l o o k 发 送 和 接 收 的 电 子 邮 件 。 根 据 B r a d   D u n c a n 之 前 的 研 究 ， E m o t e t   还 负 责 向 用 户 提 供 这 款 吸 引 密 码 的 T r i c k b o t 变 体 以 及 A z o r u l t 。 i n j e c t D l l 3 2 模 块 模 块 此 加 密 模 块 监 视 银 行 应 用 程 序 可 能 使 用 的 网 站 。 它 还 用 于 使 用 反 射 D L L 注 入 技 术 将 代 码 注 入 其 目 标 进 程 。 i n j e c t D l l 3 2 监 控 银 行 相 关 网 站 的 两 种 不 同 的 凭 证 窃 取 方 法 ： 首 先 ， 当 用 户 登 录 其 名 单 上 的 任 何 受 监 控 银 行 网 站 时 ， 如 大 通 银 行 ， 花 旗 银 行 ， 美 国 银 行 ， 斯 巴 达 银 行 ， 桑 坦 德 银 行 ， 汇 丰 银 行 ， 加 拿 大 帝 国 商 业 银 行 （ C I B C ） 和 M e t r o b a n k ， T r i c k b o t 将 会 向 C ＆ C 服 务 器 发 送 P O S T 响 应 以 提 取 用 户 的 登 录 凭 据 。 其 次 ， T r i c k b o t 监 控 用 户 是 否 访 问 其 列 表 中 的 某 些 银 行 相 关 网 站 ， 例 如 C .   H o a r e ＆ C o 银 行 ， 圣 詹 姆 斯 广 场 银 行 和 苏 格 兰 皇 家 银 行 ， 并 将 用 户 重 定 向 到 假 冒 网 络 钓 鱼 网 站 。 银 行 U R L   T r i c k b o t 监 控 包 括 来 自 美 国 ， 加 拿 大 ， 英 国 ， 德 国 ， 澳 大 利 亚 ， 奥 地 利 ， 爱 尔 兰 ， 伦 敦 ， 瑞 士 和 苏 格 兰 的 网 站 。 T r i c k b o t 的 其 他 值 得 注 意 的 技 巧 的 其 他 值 得 注 意 的 技 巧 T r i c k b o t 通 常 通 过 恶 意 垃 圾 邮 件 活 动 发 送 。 该 恶 意 软 件 通 过 执 行 某 些 命 令 和 修 改 注 册 表 项 来 禁 用 M i c r o s o f t 的 内 置 防 病 毒 W i n d o w s   D e f e n d e r 。 此 外 ， 它 还 会 终 止 与 W i n d o w s   D e f e n d e r 相 关 的 进 程 ， 如 M S A S C u i l . e x e ， M S A S C u i . e x e 和 反 间 谍 软 件 实 用 程 序 M s m p e n g . e x e 。 它 还 有 一 个 自 动 启 动 机 制 （ M s n t c s ） ， 它 在 系 统 启 动 时 触 发 ， 并 在 首 次 执 行 后 每 十 分 钟 触 发 一 次 。 它 禁 用 以 下 反 恶 意 软 件 服 务 ： M B a m S e r v i c e （ M a l w a r e b y t e s 相 关 流 程 ） S A V S e r v i c e （ S o p h o s   A V 相 关 流 程 ） 它 的 反 分 析 功 能 可 以 检 查 系 统 并 在 找 到 某 些 模 块 时 自 行 终 止 ， 例 如 p s t o r e c . d l l ， v m c h e c k . d l l ， w p e s p y . d l l 和 d b g h e l p . d l l 。 捍 卫 捍 卫 T r i c k b o t 的 技 巧 ： 趋 势 科 技 解 决 方 案 的 技 巧 ： 趋 势 科 技 解 决 方 案 恶 意 软 件 作 者 继 续 使 用 新 模 块 更 新 T r i c k b o t 和 E m o t e t 等 银 行 木 马 ， 使 其 更 难 以 检 测 和 打 击 。 用 户 和 企 业 可 以 受 益 于 使 用 多 层 方 法 来 降 低 银 行 特 洛 伊 木 马 等 威 胁 带 来 的 风 险 的 保 护 。 趋 势 科 技 X G e n ™ 安 全 性 提 供 跨 代 混 合 威 胁 防 御 技 术 ， 以 保 护 系 统 免 受 各 种 类 型 的 威 胁 ， 包 括 银 行 木 马 ， 勒 索 软 件 和 加
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理