Trickbot-Malware hat neue Tricks auf Lager: Beispiele mit Coronavirus-Motiven Narren-Sicherheitsprodukte und Ziel-Telekommunikationsunternehmen

Im Jahr 2016 begann Trickbot sein Leben als bescheidener Bankentrojaner, aber es wurde schnell klar, dass es viel mehr als das war. Im Moment, fast vier Jahre später, kann man mit Sicherheit sagen, dass es sich um die am weitesten verbreitete Malware-Familie der Welt handelt, und nichts deutet darauf hin, dass sich Cyberkriminelle bald davon abwenden werden.

Die Hauptattraktivität liegt in der Vielseitigkeit, die sich aus dem modularen Aufbau ergibt. Malware-Ersteller können Plugins entwickeln und hinzufügen und den Trojaner auf einfache Weise dazu bringen, eine Vielzahl von Aufgaben zu erledigen. In der Zwischenzeit kann Trickbot mit ein paar Änderungen verstohlener und extrem schwer zu entfernen sein. Jüngste Beispiele von Sicherheitsforschern zeigen, warum Cyberkriminelle es so lieben.

Trickbot-Beispiele nutzen die Panik um den Ausbruch des Coronavirus, um Sicherheitslösungen auszuweichen

Trickbot verwendet wie viele andere Malware-Familien die aktuelle Coronavirus-Pandemie in seinen Kampagnen. Im Gegensatz zu anderen Banden verwenden die Trickbot-Betreiber den Ausbruch jedoch nicht, um die Opfer zum Öffnen einer Datei oder zum Klicken auf einen Link zu verleiten. Dieses Mal spielt das Coronavirus eine Rolle beim Täuschen des Computers.

Laut der Sicherheitsnachrichten-Website Bleeping Computer haben Kriminelle kürzlich Änderungen am Crypter der Malware vorgenommen - einem Programm, das den Code der ausführbaren Datei verschlüsseln und als legitim erscheinen lässt. Die Forscher gingen die Eigenschaften der neuen Dateien durch und stellten fest, dass Zeichenfolgen aus Coronavirus-Nachrichtenberichten in Feldern wie "Dateibeschreibung", "Produktname" und "Urheberrecht" platziert wurden.

Das sieht nach einem seltsamen Schachzug aus. Die traurige Wahrheit ist schließlich, dass es unwahrscheinlich ist, dass normale Benutzer eine unbekannte Datei vor dem Start in so vielen Details recherchieren, und selbst wenn dies der Fall ist, besteht eine gute Chance, dass sie von einer Eigenschaftenseite verwirrt werden, die so aussieht. Dahinter steckt jedoch eine Methode.

Vitali Kremez von SentinelLabs sagte gegenüber Bleeping Computer, dass es sich höchstwahrscheinlich um eine Technik zur Umgehung der Erkennung handelt. Anscheinend haben Trickbot-Betreiber es in der Vergangenheit verwendet, und es scheint besonders effektiv gegen Sicherheitslösungen zu sein, die auf künstlicher Intelligenz und maschinellem Lernen beruhen.

Diese neuen Ergänzungen deuten darauf hin, dass die Betreiber von Trickbot entschlossen sind, ihre Ziele erfolgreich zu gefährden. Dies wird übrigens auch durch unabhängige Untersuchungen von Bitdefender Anfang dieses Monats gestützt.

Trickbot greift Ziele über RDP an

Die Forscher von Bitdefender überwachten Trickbots Verhalten, als sie Ende Januar bemerkten, dass die Gauner ein Update vorantrieben. Es gab ein neues Modell, das die Experten zuvor noch nicht gesehen hatten. Einige der Funktionen funktionierten nicht richtig, was zeigte, dass das Update noch in Arbeit war. Trotzdem gelang es Experten, eine Vorstellung davon zu bekommen, wie die Zukunftspläne der Gauner aussehen könnten.

Das neue Modul wird zusammen mit einer Konfigurationsdatei nach einer erfolgreichen Infektion von einem der vielen verfügbaren Command & Control (C & C) -Server heruntergeladen. Trickbot erhält eine Liste von Zielen, und seine erste Aufgabe besteht darin, zu überprüfen, ob für sie die RDP-Dienste (Remote Desktop Protocol) aktiviert sind. Wenn ein Ziel über ein offenes RDP verfügt, wird sein Name über eine POST-Anforderung an C & C zurückgesendet. Der Server antwortet mit einer Sammlung von Benutzernamen und Kennwörtern, mit denen Trickbot versucht, sich brutal in die Zielorganisation einzumischen und diese zu gefährden.

Es ist schwer zu sagen, ob das neue Modul bereits in freier Wildbahn verwendet wurde. Basierend auf der Liste der Ziele, die Bitdefenders Forscher sahen, könnte es jedoch bald gegen Telekommunikationsunternehmen in den USA und Hongkong freigesetzt werden. Die Gauner könnten auch Unternehmen im Finanzsektor sowie Organisationen im Visier haben, die sich mit Bildung und wissenschaftlicher Forschung befassen.

Die beiden neuen Ergänzungen stellen die neuesten in einer sehr langen Reihe von Updates dar, die die Betreiber von Trickbot ihrer Malware hinzugefügt haben. Wir können nur raten, in welche Richtung der Trojaner als nächstes gehen wird, aber wir können ziemlich sicher sein, dass er bei den Cyberkriminellen ein Favorit bleiben wird.