搜索

[13510] 2018-12-08_TrickBot银行木马最新的POS相关模块psfin32分析

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-12-08_TrickBot银行木马最新的POS相关模块psfin32分析 T r i c k B o t 银 行 木 马 最 新 的 P O S 相 关 模 块 p s f i n 3 2 分 析 f e n g b i n 8 6 0 6   F r e e B u f   2 0 1 8 - 1 2 - 0 8 前 言 前 言 T r i c k B o t 通 过 不 断 增 加 窃 取 用 户 凭 证 的 新 模 块 而 不 断 进 化 ， 我 们 已 发 布 的 最 新 进 展 是 关 于 它 的 通 过 不 断 增 加 窃 取 用 户 凭 证 的 新 模 块 而 不 断 进 化 ， 我 们 已 发 布 的 最 新 进 展 是 关 于 它 的 p w g r a b 3 2 模 块 。 模 块 。 最 近 ， 我 们 又 发 现 了 一 个 新 的 最 近 ， 我 们 又 发 现 了 一 个 新 的 P O S 相 关 的 恶 意 模 块 ， 使 得 该 银 行 木 马 更 加 危 险 。 一 旦 受 感 染 的 计 算 机 连 接 到 支 相 关 的 恶 意 模 块 ， 使 得 该 银 行 木 马 更 加 危 险 。 一 旦 受 感 染 的 计 算 机 连 接 到 支 持 持 P O S 服 务 和 设 备 的 网 络 ， 新 模 块 将 开 始 活 动 。 服 务 和 设 备 的 网 络 ， 新 模 块 将 开 始 活 动 。 我 们 目 前 正 在 研 究 恶 意 软 件 的 作 者 是 如 何 利 用 这 些 信 息 的 ， 因 为 他 们 已 经 成 功 渗 透 了 安 装 了 P O S 相 关 服 务 的 网 络 ， 但 却 没 有 获 取 信 用 卡 ， A T M 或 其 他 银 行 相 关 的 特 定 数 据 。 在 此 阶 段 ， 他 们 可 能 正 在 收 集 信 息 ， 以 便 为 将 来 的 入 侵 做 准 备 。 p s f i n 3 2 模 块 分 析 模 块 分 析 新 模 块 p s f i n 3 2 与 其 之 前 的 信 息 收 集 模 块 类 似 ， 但 做 了 一 些 修 改 ， 仅 识 别 特 定 网 络 中 P O S 相 关 的 内 容 。 该 模 块 通 过 域 控 制 器 和 基 本 帐 户 识 别 网 络 中 的 P O S 服 务 ， 并 使 用 L D A P 查 询 来 访 问 A c t i v e   D i r e c t o r y 服 务 （ A D S ， 负 责 存 储 有 关 网 络 上 对 象 的 信 息 ） 。 L D A P 查 询 在 全 局 编 录 的 D N S 主 机 名 中 搜 索 包 含 以 下 字 符 串 的 计 算 机 ： P O S L A N E B O H R E G S T O R E A L O H A C A S H R E T A I L M I C R O S
如 果 未 查 询 到 任 何 信 息 ， 它 还 会 根 据 以 下 内 容 对 网 络 中 的 不 同 帐 户 或 对 象 执 行 其 他 查 询 ： s A M A c c o u n t N a m e ： 用 于 支 持 旧 版 W i n d o w s 操 作 系 统 版 本 ， 如 W i n d o w s   N T   4 . 0 ， W i n d o w s   9 5 ， W i n d o w s   9 8 和 L A N   M a n a g e r 网 站 名 称 ： 组 织 单 位 （ O U ） ： 除 域 控 制 器 外 ， 它 还 使 用 U s e r A c c o u n t C o n t r o l （ U A C ） 8 1 9 2 向 网 络 中 具 有 基 本 帐 户 或 用 户 的 计 算 机 发 送 查 询 。 一 旦 T r i c k B o t 收 集 到 了 信 息 ， 它 就 会 将 信 息 存 储 到 其 预 先 配 置 的 “ L o g ” 文 件 中 ， 通 过 P O S T 方 式 发 送 到 其 C ＆ C 服 务 器 D p o s t 上 。 如 果 无 法 访 问 C ＆ C 服 务 器 ， 则 会 提 示 “ D p o s t 服 务 器 不 可 用 ” ， 否 则 提 示 会 显 示 “ 报 告 已 成 功 发 送 ” 。
考 虑 到 模 块 的 部 署 时 间 ， 威 胁 参 与 者 可 能 正 在 利 用 假 期 来 收 集 和 发 送 信 息 ， 特 别 是 在 B r a d   D u n c a n 在 I S C 上 发 表 了 相 关 报 告 之 后 ， 该 报 告 讨 论 了 针 对 美 国 的 关 于 T r i c k B o t 宏 的 恶 意 垃 圾 邮 件 活 动 。 虽 然 当 时 分 析 的 样 本 文 件 和 U R L 已 无 法 访 问 ， 但 依 然 对 个 人 和 企 业 起 到 警 告 作 用 ： 不 要 打 开 可 疑 的 电 子 邮 件 ， 文 件 和 附 件 。 防 范 策 略 防 范 策 略 鉴 于 T r i c k B o t 的 模 块 化 特 性 ， 我 们 可 以 预 期 它 会 有 更 多 的 变 种 ， 使 其 更 难 以 检 测 和 防 御 。 个 人 和 企 业 可 以 通 过 多 层 防 御 使 自 己 免 受 像 T r i c k B o t 这 样 的 银 行 木 马 侵 害 。 同 时 确 保 只 安 装 ， 下 载 和 浏 览 白 名 单 下 的 应 用 程 序 和 站 点 。 I n d i c a t o r   o f   C o m p r o m i s e * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o . c o m ， ， x x x 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 。 阅 读 原 文 S H A 2 5 6 T r o j a n S p y . W i n 3 2 . T R I C K B O T . A L a 9 b 0 0 d 1 2 f 7 f a 5 2 2 0 9 a 8 e a d 9 1 b b 5 9 5 5 2 2 e f f c 0 a b 5 e 4 d c f a 0 2 e 0 d 1 4 5 a e 7 e a 1 c b 1 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理