欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

银行木马Trickbot新模块:密码抓取器分析

来源:本站整理 作者:佚名 时间:2018-11-06 TAG: 我要投稿

Trickbot曾经是一个简单的银行木马,已经走过了漫长的道路。随着时间的推移,我们已经看到网络犯罪分子如何继续为此恶意软件添加更多功能。
去年三月,Trickbot增加了一个新模块,增加了检测规避和屏幕锁定功能。本月,我们看到Trickbot(被趋势科技检测为TSPY_TRICKBOT.THOIBEAI)现在拥有一个密码管理器模块(pwgrab32),可以窃取多个应用程序和浏览器的访问权限,例如Microsoft Outlook,Filezilla,WinSCP,Google Chrome,Mozilla Firefox, Internet Explorer和Microsoft Edge。根据我们的遥测技术,我们发现这个Trickbot变种主要影响了美国,加拿大和菲律宾的用户。
分析Trickbot的模块
恶意软件作者继续使用Trickbot的模块化结构 – 它能够通过从C&C服务器下载新模块来不断更新自身,并更改其配置,以便更新成熟的恶意软件。为了更好地了解这种威胁,我们分析了Trickbot的不同模块,从我们本月看到的新的pwgrab32模块开始。
pwgrab32模块
Trickbot的新模块,名为pwgrab32或PasswordGrabber,窃取来自Filezilla,Microsoft Outlook和WinSCP等应用程序的凭据。
图1.受影响系统中Trickbot新模块pwgrab32的屏幕截图
图2.从FileZilla窃取FTP密码的新模块代码的截屏
图3.窃取Microsoft Outlook凭据的新模块代码的屏幕截图
图4.从开源FTP WinSCP获取Trickbot密码的屏幕截图
除了从应用程序窃取凭据外,它还从几个流行的Web浏览器窃取以下信息,例如Google Chrome,Mozilla Firefox,Internet Explorer和Microsoft Edge:
用户名和密码
互联网饼干
浏览记录
自动填充
HTTP帖子
图5. Trickbot代码的屏幕截图,其结构是从流行的Web浏览器窃取密码
应该注意的是,这个Trickbot变种不能从第三方密码管理器应用程序中窃取密码。我们正在进一步研究这个恶意软件,看看它是否能够从具有浏览器插件的密码管理器中窃取密码。
shareDll32模块
 Trickbot使用shareDll32模块帮助在整个网络中传播自己。它连接到C&C服务器http:// 185.251.9.251 / radiance.png以下载自身的副本并将其另存为setuplog.tmp。
图6. Trickbot的shareDll32模块允许它连接到C&C服务器以下载自身的副本
图7.下载的文件保存为setuplog.tmp
然后,shareDll32模块使用WNetEnumResource和GetComputerNameW枚举和标识在同一域上连接的系统。
图8.使用WNetEnumResourceW和GetComputerNameW枚举和标识已连接系统的代码的屏幕截图
然后将文件setuplog.tmp复制到已发现的计算机或系统的管理共享中。
图9.在管理共享中复制的setuplog.tmp的屏幕截图
为了使恶意软件更具持久性,它具有自动启动服务,允许Trickbot在机器启动时运行。此服务可以具有以下显示名称:
服务技术
Service_Techno2
工艺,服务2
Technoservices
高级 – 消息技术服务
ServiceTechno5
wormDll模块
wormDll32模块尝试使用NetServerEnum和LDAP查询识别网络中的服务器和域控制器。2017年,Flashpoint的安全研究人员首次观察到 Trickbot的蠕虫传播能力。
图10.使用NetServerEnum标识域中工作站和服务器的代码的屏幕截图
图11.使用LDAP查询标识网络中域控制器的代码的屏幕截图
图12.使用LDAP查询标识网络中不是域控制器的计算机的代码的屏幕截图
我们还发现,有使用“pysmb,”利用NT LM 0.12查询旧版Windows操作系统和IPC股可能SMB协议的实现。应该注意的是,这个功能似乎仍处于开发阶段。
图13.显示可能的SMB通信的代码的屏幕截图
networkDll32
Trickbot使用此加密模块扫描网络并窃取相关网络信息。它执行以下命令以收集有关受感染系统的信息:
图14. networkDll32模块执行的用于收集网络信息的命令的屏幕截图
Wormdll32模块
Wormdll32是Trickbot用于通过SMB和LDAP查询传播自身的加密模块。它与模块“wormDll”一起用于在网络上传播。
importDll32模块
该模块负责窃取浏览器数据,例如浏览历史记录,Cookie和插件等。
systeminfo32模块
 一旦成功安装在系统中,Trickbot将收集系统信息,如操作系统,CPU和内存信息,用户帐户,已安装程序和服务的列表。
mailsearcher32模块
此模块搜索受感染系统的文件以收集电子邮件地址以进行信息窃取。
收集垃圾邮件活动相关需求的电子邮件地址通常是恶意软件行为,但是,Kryptos Research最近报告说,Emotet银行木马不只是窃取电子邮件地址; 它还可以收集受Emotet感染的设备上通过Microsoft Outlook发送和接收的电子邮件。根据Brad Duncan之前的研究,Emotet 还负责向用户提供这款吸引密码的Trickbot变体以及Azorult。
injectDll32模块
此加密模块监视银行应用程序可能使用的网站。它还用于使用反射DLL注入技术将代码注入其目标进程。
injectDll32监控银行相关网站的两种不同的凭证窃取方法:
首先,当用户登录其名单上的任何受监控银行网站时,如大通银行,花旗银行,美国银行,斯巴达银行,桑坦德银行,汇丰银行,加拿大帝国商业银行(CIBC)和Metrobank,Trickbot将会向C&C服务器发送POST响应以提取用户的登录凭据。
其次,Trickbot监控用户是否访问其列表中的某些银行相关网站,例如C. Hoare&Co银行,圣詹姆斯广场银行和苏格兰皇家银行,并将用户重定向到假冒网络钓鱼网站。
银行URL Trickbot监控包括来自美国,加拿大,英国,德国,澳大利亚,奥地利,爱尔兰,伦敦,瑞士和苏格兰的网站。
Trickbot的其他值得注意的技巧
Trickbot通常通过恶意垃圾邮件活动发送。该恶意软件通过执行某些命令和修改注册表项来禁用Microsoft的内置防病毒Windows Defender。
此外,它还会终止与Windows Defender相关的进程,如MSASCuil.exe,MSASCui.exe和反间谍软件实用程序Msmpeng.exe。它还有一个自动启动机制(Msntcs),它在系统启动时触发,并在首次执行后每十分钟触发一次。
它禁用以下反恶意软件服务:

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载