Çeşitli fidye yazılımı suşlarını dağıtan Trickbot Botnet kötü amaçlı yazılımı, geliştiricileri enfekte olmuş sistemler üzerinde uzaktan kumanda için kullanılan VNC modülünü güncellerken en yaygın tehdit olmaya devam ediyor.
Aktivitesi, hem Trickbot hem de diğer yüksek profilli tehdit aktörleri için bir distribütör olarak hareket eden Ocak ayında emotet botnetinin tam olarak bozulmasından bu yana artıyor.
Trickbot neredeyse yarım on yıl boyunca ve bir bankacılık Truvası'ndan, bugün çeşitli tehdit aktörlerine erişim satan en büyük botnetlerden birine geçti.
Bu botnet'i ağ erişimi için kullanan fidye yazılımı operasyonlarından bazıları, rezil Ryuk, Conti, Revil'in yanı sıra Şeytan için Romence, Diabol adlı yeni bir tanedir.
Emotet'in kanun yaptırımıyla takıldığından, TrickBot aktivitesi, bu tür seviyelerde, Check Point'in radarındaki en yaygın kötü amaçlı yazılımın olduğu gibi artmaya başladı.
Kötü amaçlı yazılım, bu ay konumunu da sürdürdü, bugün bir rapordaki Siber Güvenlik Şirketi Notları, Trickbot'un bakıcılarının sürekli geliştirmek için sürekli çalıştığını ekledi.
Check Point'in telemetrisine göre, Trickbot, dünyadaki organizasyonların% 7'sini etkiledi, ardından XMRIG Cryptocurrency Miner, dünya çapında puan monitörleri kontrol eden kuruluşların% 3'ünü etkiledi.
Başka bir raporda, Romanya Siber Güvenlik Şirketi BitDefender, sistemlerinin yüksek profilli hedefleri ödün verdikten sonra kullanılan Trickbot'un VNC modülünün (VNCDLL) yeni bir versiyonunu yakaladığını söylüyor.
Güncellenmiş modül TVNCDLL olarak adlandırılır ve tehdit aktörünün kurbanı izlemesini ve ağdaki değerli sistemlere dönemin sağlanacak bilgileri toplamanızı sağlar.
Her ne kadar TVNCDLL 12 Mayıs'ta keşfedilmiş olmasına rağmen, Romanya araştırmacıları hala geliştirildiğini söylüyor "," Grup'un sık güncel bir güncelleme programı var, düzenli olarak yeni işlevler ve hata düzeltmeleri ekler. "
BitDefender'ın modülün analizi, özel bir iletişim protokolü kullandığını ve güvenlik duvarlarının arkasındaki mağdurlara erişim sağlayan dokuz proxy IP adresinden biri aracılığıyla komut ve kontrol (C2) sunucusuna ulaştığını belirtiyor.
VNC bileşeni Trickbot'u durdurabilir ve hafızadan kaldırabilir. Bir operatör iletişimi başlattığında, modül özel bir arayüze sahip bir sanal masaüstü oluşturur.
"Normal çalışma sırasında, alternatif masaüstü modül tarafından oluşturulur ve tamamen kontrol edilir, masaüstündeki simgeleri kopyalayın, işlemlerini yönetmek için özel bir görev çubuğu oluşturun ve özel bir sağ tıklama menüsü oluşturma," BitDefender Araştırmacıları raporları.
Komut istemini kullanarak, Tehdit Oyuncusu, C2 sunucusundan, belgeleri açık belgelerden ve e-posta gelen kutusundan taze yükler indirebilir, ödün verilen sistemden veri çalabilir.
Yerel tarayıcı olarak adlandırılan bir diğer seçenek, Internet Explorer'daki OLE otomasyon özelliğinden yararlanarak bir Web tarayıcısı başlatır.
İşlev geliştirilme aşamasındadır ve amacı Google Chrome, Mozilla Firefox, Opera ve Internet Explorer'dan şifreleri çalmaktır.
Araştırmacılar, eski VNCDLL modülünün en az 2018'den bu yana kullanımdayken, halefi, soruşturmaları sırasında ortaya çıkan kanıtlara göre 11 Mayıs 2021'de vahşi doğada aktif hale geldi.
BitDefender verilerinden gelen telemetri verileri, Trickbot'un C2 sunucularının Neredeyse tüm kıtalara yayılmasını, Kuzey Amerika'da bulunan en büyük sayı (54) ile yayıldı. Şirkete göre, C2 sunucularının sayısı bu yıl, Ocak ayında yaklaşık 40'tan fazla Haziran ayında 140'dan fazla atlayarak, bu yıl önemli ölçüde artmıştır.
Yazılım yapımcısı, radyo cihazlarına kök erişimini veren "arka kapı" kaldırır
Yuvalanmış RAR ve ZIP Arşivleri aracılığıyla Bazarbackdoor gizlice girer
Yeni Diavol Ransomware ile Bağlantılı Trickbot Cybercrime Group
ABD'nin Letonca'yı Trickbot Kötü Amaçlı Yazılımını Geliştirmeye Yardım Etme Ücreti
Yeni Bazaflix saldırısı Bazarloader Kötü amaçlı yazılımları sahte film sitesi üzerinden iter
Kaynak: Bleeping Computer