搜索

[28221] 2020-03-15_Trickbot木马以DLL的形式传播，并附带针对Windows10的升级

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-19
2020-03-15_Trickbot木马以DLL的形式传播，并附带针对Windows10的升级 T r i c k b o t 木 马 以 D L L 的 形 式 传 播 ， 并 附 带 针 对 W i n d o w s   1 0 的 升 级 原 创   C y w a r e   O t s 安 全   2 0 2 0 - 0 3 - 1 5 单 独 的 活 动 显 示 了 T r i c k b o t 如 何 更 新 其 执 行 和 防 御 规 避 技 术 。 首 先 ， 银 行 木 马 现 在 可 以 作 为 动 态 链 接 库 （ D L L ） 文 件 分 发 ， 这 是 恶 意 软 件 流 量 首 先 检 测 到 的 。 M o r p h i s e c 还 报 告 它 已 添 加 W i n d o w s   1 0 独 有 功 能 。 趋 势 科 技 研 究 人 员 还 遇 到 了 这 些 新 变 种 的 示 例 。 通 过 通 过 D L L 分 发 的 分 发 的 T r i c k b o t T r i c k b o t 通 常 通 过 带 有 D L L 模 块 的 E X E 文 件 加 载 。 现 在 ， 新 变 体 使 用 D L L 文 件 作 为 加 载 程 序 。 该 木 马 程 序 已 被 M i c r o s o f t   W o r d 文 档 删 除 ， 该 文 档 被 认 为 是 使 用 垃 圾 邮 件 中 的 恶 意 附 件 进 行 传 播 的 。 初 始 感 染 后 ， T r i c k b o t 会 显 示 为 M S - D O S 应 用 程 序 文 件 。 然 后 ， 木 马 将 在 受 感 染 的 W i n d o w s 主 机 上 建 立 持 久 性 。 然 后 可 以 看 到 将 T r i c k b o t 删 除 为 D L L 的 计 划 任 务 。 T r i c k b o t 于 2 0 1 6 年 8 月 首 次 被 发 现 为 银 行 木 马 ， 从 受 感 染 的 计 算 机 中 窃 取 电 子 邮 件 凭 据 。 然 后 ， 它 使 用 受 损 的 电 子 邮 件 帐 户 来 传 播 恶 意 电 子 邮 件 。 这 个 臭 名 昭 著 的 银 行 木 马 背 后 的 威 胁 行 动 者 一 直 在 积 极 地 利 用 新 功 能 对 其 进 行 更 新 ， 这 使 其 检 测 起 来 更 具 挑 战 性 。 它 还 增 加 了 其 他 功 能 ， 例 如 逃 避 检 测 和 屏 幕 锁 定 以 及 远 程 应 用 程 序 凭 据 捕 获 。 先 前 的 报 告 还 看 到 它 针 对 O p e n S S H 和 O p e n V P N ， 并 通 过 高 度 混 淆 的 J a v a S c r i p t 文 件 进 行 分 发 。 T r i c k b o t   W i n d o w s   1 0 独 家 功 能 独 家 功 能 T r i c k b o t 背 后 的 威 胁 参 与 者 还 添 加 了 W i n d o w s   1 0 独 有 的 功 能 ， 可 能 是 为 了 避 免 从 模 仿 早 期 W i n d o w s 版 本 的 沙 箱 中 进 行 检 测 。 通 过 T r i c k b o t 下 载 程 序 O S T A P 添 加 了 此 功 能 。 该 木 马 通 过 M i c r o s o f t   W o r d 文 档 文 件 传 播 。 恶 意 文 件 遵 循 命 名 约 定 “   i   < 7 - 9   r a n d o m   = “ ”   d i g i t s   = “ ” > 。 d o c   ” ， 并 且 通 常 包 含 模 糊 的 图 像 。 该 文 档 声 称 受 到 保 护 ， 并 且 为 了 解 密 ， 它 要 求 启 用 内 容 ， 因 此 ， 用 户 可 以 看 到 清 晰 的 图 像 。 用 户 启 用 内 容 后 ， 恶 意 宏 将 执 行 。 图 像 下 方 还 有 一 个 隐 藏 的 A c t i v e X 控 件 ， 该 控 件 使 用 M s R d p C l i e n t 1 0 N o t S a f e F o r S c r i p t i n g 类 进 行 远 程 控 制 。 恶 意 O S T A P   J a v a S c r i p t 下 载 器 隐 藏 在 文 档 主 体 下 部 的 白 色 字 体 中 。 这 使 用 户 看 不 到 它 ， 但 对 机 器 仍 然 可 见 ， 从 而 使 O S T A P 能 够 执 行 。 防 御 防 御 T r i c k b o t T r i c k b o t 在 2 0 1 9 年 入 侵 了 超 过 2 . 5 亿 个 电 子 邮 件 帐 户 ， 其 不 断 发 展 是 企 业 和 用 户 应 关 注 的 事 情 。 为 了 抵 御 特 洛 伊 木 马 ， 强 烈 建 议 企 业 进 行 有 关 减 轻 电 子 邮 件 威 胁 的 内 部 培 训 。 员 工 应 学 习 如 何 发 现 恶 意 电 子 邮 件 ， 并 避 免 下 载 附 件 和 单 击 陌 生 来 源 的 链 接 。 为 了 加 强 针 对 此 类 威 胁 的 安 全 性 ， 趋 势 科 技 电 子 邮 件 安 全 功 能 可 以 检 测 并 阻 止 垃 圾 邮 件 ， 然 后 再 对 系 统 造 成 更 多 破 坏 。 企 业 还 可 以 在 趋 势 科 技 云 安 全 智 能 防 护 套 件 下     依 靠 其 他 安 全 解 决 方 案 来 进 行 电 子 邮 件 和 协 作 ： 趋 势 科 技 ™ 深 度 威 胁     发 现 电 子 邮 件 I n s p e c t o r ™ 和 趋 势 科 技 ™ 网 关 讯 息 安 全 设 备 。 妥 协 指 标 妥 协 指 标

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理