به‌روزرسانی در باج‌افزار TrickBot

بیت‌دیفندر می‌گوید در یک به‌روزرسانی، ماژول جدید باج‌افزار TrickBot امکان جاسوسی و نظارت بر اهداف را فراهم می‌سازد.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، کارشناسان شرکت بیت‌دیفندر در گزارشی اعلام کردند توسعه‌دهندگان بدافزار تریک‌بات (TrickBot) اخیرا ماژول VNC (vncDLL) را که پس از حمله به اهداف بسیار مهم مورد استفاده قرار می‌گیرد به‌روزرسانی کرده‌اند.

ماژول به‌روز شده tvncDLL نامیده شده و به مهاجمان اجازه می‌دهد با جمع‌آوری اطلاعاتی که امکان می‌دهد حمله را به مهم‌ترین سیستم‌های شبکه‌های قربانیان گسترش داد، قربانی را رصد کنند.

ماژول tvncDLL اواسط ماه می سال جاری مشاهده و همچنان درحال‌توسعه است. اپراتورهای تریک بات بر طبق برنامه به‌روزرسانی قابلیت‌های جدیدی به بدافزار اضافه‌ کرده و خطاها را برطرف می‌کنند.

تجزیه‌وتحلیل ماژول نشان می‌دهد که از یک پروتکل ارتباطی سفارشی استفاده می‌کند و از طریق یکی از ۹ آدرس IP پروکسی با سرور فرماندهی و کنترل ارتباط برقرار می‌کند و دسترسی به فایروال‌های هدف را فراهم می‌سازد.

ماژول VNC می‌تواند عملکرد تریک بات را متوقف کرده و حتی بدافزار را از حافظه بارگیری کند. هنگامی‌که اپراتور بدافزار ارتباط برقرار می‌کند، ماژول یک دسکتاپ مجازی با رابط کاربری سفارشی ایجاد می‌کند.

با استفاده از خط فرمان، اپراتورهای بدافزار می‌توانند پیلودهای جدید را از سرور فرماندهی و کنترل خود بارگیری کنند، اسناد و ایمیل‌ها را باز کرده و سایر داده‌ها را از سیستم هک شده سرقت کنند.

بات‌نت و تروجان بانکی تریک‌بات نخستین‌بار در سال ۲۰۱۵ پس از بازداشت شماری از مجرمان سایبری شناسایی شده است. به دنبال این بازداشت‌ها، ترکیب یک گروه هکری به نام Dyre نیز تغییر کرده است.

طی سال‌های اخیر این بدافزار از یک تروجان بانکی کلاسیک که برای سرقت وجوه حساب‌های بانکی اختصاص‌یافته بود به یک بدافزار چندمنظوره مبدل شده و به‌عنوان ماینر، باج‌افزار و سارق اطلاعات نیز عمل کرده است.

شرکت مایکروسافت در عملیاتی که سال گذشته به همراه شرکت‌های FS-ISAC ،ESET ،Lumen ،NTT و Symantec علیه تریک بات انجام داد، مدعی شد بخش‌های کلیدی این بدافزار را از بین برده و به فعالیت آن پایان داده و امنیت بسیاری از مؤسسات مالی، ادارات دولتی و سازمان‌های بهداشت و شرکت‌های خصوصی و مؤسسات آموزشی را برقرار کرده است.

پس‌ از این عملیات نسخه‌های جدیدی از این بدافزار پنهان منتشر شد و محققان شرکت Advanced Intel از بدافزار BazarBackdoor یا BazarLoader که ناشناس ماندن و مبهم سازی از قابلیت‌های اصلی آن بوده و پیش از عملیات بدافزار ریوک مورداستفاده قرار می‌گیرد به‌عنوان جانشین قدرتمند تریک‌بات یاد کردند.