Η λειτουργία malware TrickBot έχει τερματιστεί αφού οι βασικοί προγραμματιστές του μετακόμισαν στη συμμορία ransomware Conti για να εστιάσουν την ανάπτυξη στις κρυφές οικογένειες κακόβουλου λογισμικού BazarBackdoor και Anchor.
Δείτε επίσης: Το malware SockDetour χρησιμοποιείται ως Windows backdoor
Το TrickBot είναι μια περιβόητη μόλυνση Windows malware που κυριαρχεί στο τοπίο των απειλών από το 2016.
Το malware συνήθως εγκαθίσταται μέσω κακόβουλων μηνυμάτων ηλεκτρονικού “ψαρέματος” ή άλλου malware και θα εκτελείται αθόρυβα στον υπολογιστή του θύματος ενώ πραγματοποιεί λήψη module για την εκτέλεση διαφορετικών εργασιών.
Αυτές οι λειτουργικές μονάδες εκτελούν ένα ευρύ φάσμα κακόβουλων δραστηριοτήτων, όπως κλοπή της βάσης δεδομένων Active Directory Services ενός domain, πλευρική εξάπλωση σε ένα δίκτυο, κλείδωμα οθόνης, κλοπή των cookies και κωδικών πρόσβασης προγράμματος περιήγησης και κλοπή κλειδιών OpenSSH.
Το TrickBot έχει μακρά σχέση με επιχειρήσεις ransomware που συνεργάστηκαν με την ομάδα TrickBot για να λάβουν αρχική πρόσβαση σε δίκτυα που έχουν μολυνθεί από το malware.
Δείτε επίσης: Malware έχει διεισδύσει στο Microsoft Store χρησιμοποιώντας κλώνους παιχνιδιών
Το 2019, ο όμιλος TrickBot συνεργάστηκε με τη λειτουργία Ryuk ransomware για να παρέχει στη συμμορία ransomware αρχική πρόσβαση στα δίκτυα. Το 2020, ο όμιλος ransomware Conti, που πιστεύεται ότι είναι ένα rebrand του Ryuk, συνεργάστηκε με το TrickBot για αρχική πρόσβαση.
Το 2021, το TrickBot προσπάθησε να ξεκινήσει τη δική του επιχείρηση ransomware με την ονομασία Diavol, η οποία δεν πήγε και πολύ καλά, πιθανώς επειδή ένας από τους προγραμματιστές του συνελήφθη.
Παρά τις πολυάριθμες προσπάθειες κατάργησης από τις αρχές επιβολής του νόμου, το TrickBot ξαναέχτιζε με επιτυχία το botnet του και συνέχιζε να τρομοκρατεί τα δίκτυα των Windows.
Αυτό συνέβαινε μέχρι τον Δεκέμβριο του 2021, όταν ξαφνικά σταμάτησαν οι καμπάνιες διανομής του.
Η επιχείρηση του TrickBot τερματίζεται
Τον τελευταίο χρόνο, η Conti έχει γίνει μια από τις πιο ανθεκτικές και προσοδοφόρες επιχειρήσεις ransomware, υπεύθυνη για πολυάριθμες επιθέσεις σε θύματα υψηλού προφίλ – έχει συγκεκτρώσει εκατοντάδες εκατομμύρια δολάρια σε πληρωμές λύτρων.
Όπως αναφέρθηκε από το BleepingComputer, λόγω του τεράστιου πλούτου και του κεφαλαίου που είχαν στη διάθεσή τους και του TrickBot που χρησιμοποιούνταν κυρίως από την Conti, η συμμορία ransomware σιγά-σιγά πήρε τον έλεγχο της επιχείρησης.
Ωστόσο, η Conti δεν προσέλαβε αυτούς τους “ελίτ προγραμματιστές και διαχειριστές” για να εργαστεί στο malware TrickBot, αλλά για να εργαστεί στις πιο κρυφές οικογένειες κακόβουλων προγραμμάτων BazarBackdoor και Anchor, όπως φαίνεται από τις εσωτερικές συνομιλίες που κοινοποιήθηκαν από την εταιρεία κυβερνοασφάλειας AdvIntel.
Η AdvIntel εξήγησε την περασμένη εβδομάδα ότι η αλλαγή στην ανάπτυξη οφείλεται στο ότι το malware TrickBot εντοπίζεται πολύ εύκολα από το λογισμικό ασφαλείας και ότι η λειτουργία θα τερματιστεί σύντομα.
Χθες, ο Διευθύνων Σύμβουλος της AdvIntel Vitali Kremez είπε στο BleepingComputer ότι η ομάδα TrickBot έκλεισε όλη την υποδομή για τη λειτουργία του malware TrickBot.
Δείτε επίσης: Nvidia: Εργαλείο που αναιρεί τους περιορισμούς GPU ήταν τελικά malware
Σε μια συνομιλία με τον Kremez, το BleepingComputer ενημερώθηκε ότι το ransomware Conti ελέγχει πλέον την ανάπτυξη του malware TrickBot για τις δικές του ανάγκες.
Με αυτόν τον τερματισμό, ο Kremez εξήγησε ότι το κύκλωμα TrickBot, πλέον εστιάζει σχεδόν εξ ολοκλήρου σε ransomware και δίκτυα παραβίασης.
Μια έκθεση που δημοσιεύθηκε χθες από την εταιρεία Intel471 επιβεβαίωσε ότι η επιχείρηση θα τερματιζόταν προς όφελος πιο κερδοφόρων πλατφορμών.
Αν και προφανώς είναι θετικό το ότι μια επιχείρηση malware κλείνει, σχεδόν πάντα οι χάκερ έχουν ήδη μεταβεί σε μια άλλη συμμορία ransomware.
Η διανομή μέσω email του BazarBackdoor έχει ήδη αυξηθεί τους τελευταίους έξι μήνες, αλλά με τον τερματισμό λειτουργίας του TrickBot, πιθανότατα θα το δούμε να εξαπλώνεται περισσότερο.
Πηγή πληροφοριών: bleepingcomputer.com
