Trojan.TrickBot

O Trojan.TrickBot, um Trojan bancário, parece ser um sucessor do Dyre, um conhecido Trojan bancário que já foi responsável por inúmeros ataques em todo o mundo. Há certamente uma conexão entre os dois Trojans. Essas ameaças evoluem constantemente, ganhando novos recursos à medida em que se defendem das novas medidas de segurança implementadas pelos pesquisadores de segurança do PC. O Dyre, também conhecido como Dyreza, parece ter evoluído para o Trojan.TrickBot, um novo Trojan bancário.

Uma Breve Análise do Predecessor do Trojan.TrickBot, o Dyre Trojan

O Dyre Trojan, que está associado a uma extensa rede de bots composta por centenas de milhares de computadores infectados, atacou dezenas de milhares de computadores em todo o mundo em novembro de 2015. Mais de mil bancos e instituições financeiras podem ter sido comprometidos pelo Dyre. As atividades dessa ameaça cessaram em novembro de 2015, o que coincidiu com a invasão dos escritórios de uma empresa russa que fazia parte do grupo de trapaceiros responsáveis pelo Dyre. Infelizmente, parece que alguém que esteve envolvido no desenvolvimento do Dyre em 2015 pode agora estar participando do desenvolvimento do Trojan.TrickBot.

Monitorando a Evolução do Trojan.TrickBot

O Trojan.TrickBot foi detectado pela primeira vez em setembro de 2016 em uma campanha de ameaças direcionada aos usuários de computador da Austrália. Algumas das instituições financeiras australianas que foram afetadas incluem o NAB, St. George, Westpac e ANZ. Os ataques iniciais do Trojan.TrickBot envolveram um módulo coletor. Novas amostras do Trojan.TrickBot também incluem webinjects nos seus ataques, e parecem ainda estar em teste.

Existem várias razões pelas quais os analistas de segurança do PC suspeitam que existe uma forte conexão entre o Trojan.TrickBot e o Dyre. O carregador envolvido na maioria dos ataques é muito semelhante. Depois de decodificar as ameaças, as semelhanças tornam-se muito óbvias. Isso significa que muitos dos trapaceiros que foram responsáveis ​​pelo desenvolvimento e a implementação do Dyre parecem ter se tornado ativos novamente, escapando da prisão e retomando às atividades um ano após os ataques do Dyre. O Trojan.TrickBot parece ser uma versão reescrita do Dyre, mantendo muitas das mesmas funções, mas escritas de uma maneira diferente. Comparado ao Dyre, há uma grande quantidade de código em C ++ na implementação do Trojan.TrickBot. O Trojan.TrickBot tira proveito do CryptoAPI da Microsoft, em vez de ter funções internas para as suas operações de criptografia correspondentes. A seguir estão as diferenças entre o Trojan.TrickBot e o Dyre:

• O Trojan.TrickBot não executa comandos diretamente, mas interage com o Agendador de Tarefas usando COM para manter persistência no computador infectado.
• Em vez de usar a rotina de hashing SHA256 embutida ou uma rotina AES, o Trojan.TrickBot usa a API do Microsoft Crypto.
• Enquanto o Dyre foi escrito usando principalmente a linguagem de programação C, o Trojan.TrickBot usa uma porção maior de C ++ no seu código.

Essas diferenças, no entanto, parecem indicar que existe uma relação clara entre o Dyre e o Trojan.TrickBot, mas que o Trojan.TrickBot na verdade representa um estágio mais avançado de desenvolvimento do que a ameaça anterior. O Trojan.TrickBot é carregado usando o gerenciador de ameaças 'TrickLoader', que foi associado a várias outras ameaças, incluindo o Pushdo, o Cutwail e o Vawtrak. O Cutwail, em particular, também tem sido associado à ameaça Dyre, tornando provável que os vigaristas responsáveis ​​pelo Trojan.TrickBot estejam tentando reconstruir os vastos recursos de que desfrutavam com o ataque anterior.

Prevenindo os Ataques do Trojan.TrickBot

A melhor maneira de evitar ataques do Trojan.TrickBot é certificar-se de que o seu computador está protegido com um programa anti-malware confiável e totalmente atualizado. As senhas bancárias online devem ser fortes e uma autenticação em duas etapas deve ser implementada. Tenha cuidado ao manipular as suas contas bancárias on-line, evitando essas operações nos computadores desconhecidos e examinando o seu computador regularmente em busca de ameaças com um aplicativo de segurança atualizado.

SpyHunter detecta e remove Trojan.TrickBot