Trickbot - 資安趨勢部落格

點開 Google Docs連結,無檔案病毒偽裝Word、Excel或PDF 藏匿其中

2020 年 05 月 06 日2020 年 05 月 27 日趨勢科技 TrendMicro

看到標題是「客戶投訴」、「薪資報告」和「員工離職列表」…..等跟你息息相關的信件,請不要一時心急點選信中指向 Google Docs檔案的連結。
即使你很想點開的文件看起來像 Word文件、Excel電子表格或PDF 檔案格式,都不要打開,因為它有可能是執行檔偽裝的! 比如使用 PDF圖示, 隱藏檔案副檔名，讓 Preview.PDF.exe看起變成是 Preview.PDF 的PDF檔案格式。

點開 Google Docs連結,無檔案病毒偽裝Word、Excel或PDF 藏匿其中

根據BleepingComputer的報告，有一波新攻擊活動正在散播名為”BazarBackdoor”的新惡意軟體，據稱是由木馬程式TrickBot幕後黑手所製作的無檔案後門程式。會有這結論是因為兩個惡意軟體間有著相似的程式碼、加密工具和基礎設施。

TrickBot木馬程式的幕後黑手在散播無檔案惡意軟體BazarBackdoor

用來散播後門程式的社交工程（social engineering）攻擊,會用各種主題來發送電子郵件，如客戶投訴、新冠狀病毒(COVID-19,俗稱武漢肺炎) 相關訊息、薪資報告和員工離職列表。這些訊息會包含指向 Google Docs 檔案的連結。使用者點入連結後會被重新導到登入頁面。這些頁面會秀出Word文件、Excel電子表格或PDF無法被正確顯示。接著指示使用者點入一個連結來打開檔案。

繼續閱讀

入侵超過2.5億個帳號的銀行木馬Trickbot,變身攻擊Windows 10

2020 年 03 月 27 日2020 年 03 月 23 日趨勢科技 TrendMicro

近日有幾波獨立的攻擊活動顯示出Trickbot是如何地更新其執行和防禦躲避技術。首先是Malware Traffic偵測到這隻銀行木馬程式現在會用DLL檔案形式散播。Morphisec也報告說它加入了針對Windows 10的功能。趨勢科技研究人員也有發現這些新變種的樣本。

Trickbot透過DLL散播

Trickbot通常是由帶有DLL模組的EXE檔載入。而新的變種現在會用DLL檔載入。這隻木馬程式是透過微軟Word文件檔案進入，應該是經由垃圾郵件的惡意附件檔散播。一開始感染時，Trickbot會顯示為MS-DOS應用程式檔案。接著木馬程式會在受感染電腦上建立持續性能力。能夠看到將Trickbot植入為DLL檔的排程工作。

繼續閱讀

2019年最活躍的銀行木馬:Trickbot更新密碼擷取模組,鎖定更多應用程式和服務

2019 年 12 月 20 日2019 年 12 月 18 日趨勢科技 TrendMicro

Trickbot一直都是2019年最活躍的銀行木馬之一。這隻惡意軟體持續地透過新模組或更新來不停改進自己，而且背後的開發者也一直在尋找新目標。來自Security Intelligence的研究人員報告了Trickbot在日本的活動程度突然大增，趨勢科技研究人員也發現它更新了密碼擷取（pwgrab）模組，同時可能改用 Emotet 病毒散播 Trickbot。

之前的 Trickbot報告提到會入侵服務或平台來從瀏覽器、Outlook、WinSCP 和Filezilla收集登入憑證。趨勢科技報告發現它的pwgrab模組增加了竊取遠端存取軟體登入憑證的功能，如遠端桌面協定（RDP）、VNC 和 PuTTY平台。最新變種（趨勢科技偵測為TrojanSpy.Win32.TRICKBOT.TIGOCER）將目標放到了TeamViewer、OpenSSH、OpenVPN、Git、KeePass密碼管理器、SSH私鑰檔案、SSL憑證檔案和比特幣錢包檔案等大量登入憑證。

繼續閱讀