Ένα malware γνωστό ως TrickBot μολύνει θύματα από το 2016. Είναι ακόμα πολύ ισχυρό – στην πραγματικότητα πολλοί στον κόσμο του cybersecurity το θεωρούν την κορυφαία απειλή που στοχεύει τις επιχειρήσεις αυτή τη στιγμή. Οι ειδικοί πιστεύουν ότι το TrickBot μπορεί να έχει χρησιμοποιήσει μέχρι τώρα 250 εκατομμύρια λογαριασμούς email.
Οι ερευνητές στο DeepInstinct παρακολουθούν τη δραστηριότητα του TrickBot. Τα τελευταία χρόνια έχουν δει το κακόβουλο λογισμικό να εξελίσσεται και να προσθέτει νέες δυνατότητες που το καθιστούν ακόμα πιο επικίνδυνο.
Μια από αυτές τις προσθήκες είναι κάτι που το DeepInstinct αναφέρει ως TrickBooster. Η δουλειά του: να στείλει spam email, προκειμένου να αυξηθεί η εξάπλωση του TrickBot.
Στον πυρήνα του, το TrickBot είναι ένα banking Trojan. Το malware συνήθως διανέμεται μέσω email (spearphishing) – όπως τα ψευδή βιογραφικά που αποστέλλονται στα τμήματα HR ή τα τιμολόγια που αποστέλλονται στο προσωπικό που ασχολείται με τους λογαριασμούς. Αυτά συνήθως συνδέονται με τη μορφή αρχείων Microsoft Word ή Excel.
Το TrickBot μπορεί να εξαπλωθεί μέσω διαφόρων τρόπων. Ένας τρόπος είναι η εκμετάλλευση των τρωτών σημείων στο SMB, ένα πρωτόκολλο που επιτρέπει στους υπολογιστές των Windows να μοιράζονται εύκολα και να έχουν πρόσβαση σε αρχεία και φακέλους σε άλλα συστήματα στο ίδιο δίκτυο.
Το malware που εξαπλώνεται μέσω SMB μπορεί να διαδοθεί γρήγορα σε ένα οργανισμό όπου οι διαμορφώσεις hardware και software τείνουν να είναι αρκετά ομοιογενείς. Αυτή η ομοιομορφία τείνει να οδηγήσει σε μεγάλο αριθμό υπολογιστών που είναι ευάλωτοι στις ίδιες εκμεταλλεύσεις, γεγονός που καθιστά πολύ πιο εύκολη την εξάπλωση malware όπως το TrickBot.
“Σχέδιο B”
Το TrickBooster δίνει στο TrickBot έναν δεύτερο εξαιρετικά αποτελεσματικό τρόπο διάδοσης της “λοίμωξης”. Με την αποστολή email από αξιόπιστες διευθύνσεις εντός ενός οργανισμού, το TrickBot αυξάνει τις πιθανότητες ένα θύμα θα ανοίξει ένα από τα συνημμένα του.
Φαίνεται να δουλεύει επίσης. Οι ερευνητές της εταιρείας ανακάλυψαν ένα σύνολο 250 εκατομμυρίων διευθύνσεων ηλεκτρονικού ταχυδρομείου που είχαν γίνει compromised από την εκστρατεία TrickBot.
To DeepInstinct ανέφερε ότι αυτές οι διευθύνσεις δεν φαίνεται να προέρχονται από παλαιότερες γνωστές παραβιάσεις. Φαίνεται να είναι μια νέα παρτίδα.
Μεταξύ αυτών, περισσότερα από 25 εκατομμύρια προέρχονται από το Gmail, 21 εκατομμύρια από το Yahoo, και 11 εκατομμύρια από το Hotmail. Άλλα 10 εκατομμύρια ανήκουν σε χρήστες AOL και MSN. Το DeepInstinct εντόπισε επίσης και πολλές διευθύνσεις που ανήκουν σε κυβερνητικούς εργαζομένους.
Οι λογαριασμοί που έχουν ως βάση τις ΗΠΑ που περιλαμβάνονται στο δίκτυο του TrickBot περιλαμβάνουν προσωπικό από το Υπουργείο Δικαιοσύνης, το Υπουργείο Εξωτερικών, την Εσωτερική Ασφάλεια, την Ταχυδρομική Υπηρεσία, καθώς και από την FAA, ATF, IRS και NASA. Λογαριασμοί email που ανήκουν σε καναδικούς και βρετανικούς οργανισμούς βρέθηκαν επίσης στη βάση δεδομένων.
