TrickBot正部署新的VNC模塊監控受害者
責編：gltian ｜2021-07-19 10:28:03網絡安全研究人員近日揭露了 TrickBot 惡意軟件想要卷土重來的意圖，這個運作總部位于俄羅斯的跨國網絡犯罪組織正在幕后積極擴張，以應對執法部門最近對它們的打擊行動，TrickBot 正在嘗試改造其攻擊基礎設施。
“此次發現的新模塊用于監控和收集受害者的信息，使用自定義的通信協議來隱藏 C&C 服務器和受害者之間的數據傳輸。這就使得攻擊難以被發現”，Bitdefender 近期披露了 TrickBot 的最新動態，這表明該組織的運營策略變得更加復雜。
TrickBot 沒有要退出的跡象
TrickBot 背后的網絡犯罪團伙被稱為 Wizard Spider，經常從失陷主機竊取敏感信息、通過橫向平移擴大感染面，甚至成為其他惡意軟件的“前哨”。TrickBot 多年來一直不斷更新模塊功能以提高感染率，維持了較高的傳播有效性。
TrickBot 已經演變到使用復雜基礎設施的程度，該組織經常會入侵第三方服務器并將其作為惡意軟件的部署點。Black Lotus Labs 在去年 10 月披露 TrickBot 還有感染路由器等消費級設備，攻擊者會不斷輪換 IP 地址和受感染的主機，盡可能地維持犯罪活動的運行。
TrickBot 僵尸網絡經歷了微軟和美國網絡司令部的兩次鏟除行動，仍然沒有被徹底消滅。之前發現攻擊者仍然在開發針對固件發起攻擊的新模塊，攻擊者可以在 UEFI 固件級植入后門，逃避檢測并持久駐留。
更新模塊
根據 Bitdefender 的說法，TrickBot 正在積極開發一個名為?vncDll的模塊，該模塊用于針對選定的目標進行監控和情報收集。該模塊的新版本已被命名為?tvncDll。
新模塊旨在與其配置文件中定義的九個 C&C 服務器中的任意一個進行通信，檢索一組要執行的攻擊命令、下載更多惡意軟件或者將從機器收集的數據傳回 C&C 服務器。此外，研究人員表示，他們確定了一個名為“viewer tool”的惡意軟件，攻擊者使用它通過 C&C 服務器與受害者進行交互。
雖然壓制該組織活動的努力可能并沒有完全成功，但微軟表示它正在與互聯網服務提供商（ISP）建立更廣泛合作，在巴西和拉丁美洲挨家挨戶更換受到 Trickbot 攻擊的路由器。通過這種方法，之前已經有效地鏟除了 Trickbot 在阿富汗的基礎設施。
參考來源
來源：FreeBuf.COM