TrickBot利用受感染的PC发起RDP蛮力攻击

最近,人们发现了一种用于“银行诈骗木马”的新模块,该模块允许攻击者利用受危害的系统,对某些运行Internet远程桌面协议(RDP)连接的Windows系统发起强力攻击。

网络安全公司Bitdefender在与《黑客新闻》分享的一份报告中称,这个名为“rdpScanDll”的模块于1月30日被发现,目前仍在开发中。

据研究人员称,rdpScanDll brute- force模块到目前为止已经尝试针对6,013台RDP服务器,这些服务器属于美国和香港的电信、教育和金融行业的企业。

背后的恶意软件作者专门发布新的模块和版本的木马,试图扩大和完善其能力。

研究人员表示:“这种模块化架构所允许的灵活性,已经将TrickBot变成了一种非常复杂和复杂的恶意软件,只要有一个插件,就可以进行各种各样的恶意活动。”

“从窃取OpenSSH和OpenVPN敏感数据的附加组件,到执行sim交换攻击以控制用户电话号码的模块,甚至在下载其主要模块之前禁用Windows内置的安全机制,欺骗机器人是一个万事通。”

如何运行的欺骗机器人RDP蛮力模块?

当TrickBot开始执行时,它会创建一个文件夹,其中包含加密的恶意负载及其相关的配置文件,其中包括命令和控制(C2)服务器的列表,插件需要与这些服务器通信以检索要执行的命令。

根据Bitdefender的说法,rdpScanDll插件与另一个名为“vncDll”的模块共享配置文件,同时使用标准的URL格式与新的C2服务器进行通信——https://C&C/tag/computerID/controlEndpoint

这里,“终极动员令”是指C2服务器”标签,“TrickBot示例所使用的标签,“computerID,”电脑ID使用的恶意软件,和“controlEndpoint”,攻击模式的列表(检查,trybrute和畜生)和IP地址端口号码列表组合通过RDP的强力攻击目标。

当“check”模式检查目标列表中的RDP连接时,“trybrute”模式尝试使用从端点“/ RDP /names”和“/ RDP /dict”中获得的预定用户名和密码列表对选定的目标进行蛮力操作。

研究人员称,“野蛮”模式似乎仍在发展中。它不仅包含一组未被调用的可执行函数,而且模式“不获取用户名列表,导致插件使用空密码和用户名来验证目标列表”。

一旦通过“/rdp/domains”收集的目标ip的初始列表用完,插件就会使用第二个“/rdp/over”端点检索另一组新的ip。

这两份名单分别包含49个和5964个IP地址,目标分别位于美国和香港,涵盖电信、教育、金融和科研垂直领域。

横向移动插件在顶部

此外,据报告详细TrickBot更新交付机制,发现插件负责通过网络横向运动(WormDll、TabDll ShareDll)收到最更新,紧随其后的是模块,进行了系统和网络的侦察(系统信息,NetworkDll)和数据收集(ImportDll、Pwgrab aDll)在过去的六个月。

“在监测恶意插件的更新时,我们发现更新最频繁的是那些执行横向移动的插件:32.07%是wormDll, 31.44%是shareDll, 16.35%是tabDll,”研究人员观察到。“其他插件的出现率低于5%。”

更重要的是,研究人员能够识别出全球至少3460个充当C2服务器的IP地址,包括556个专门用于下载新插件的服务器和22个同时充当这两个角色的IP地址。

能力演进的历史

通过电子邮件钓鱼活动传播,在2016年,TrickBot作为银行木马开始了它的生命,为金融盗窃提供了便利。但从那以后,它已经进化到可以发送其他种类的恶意软件,包括臭名昭著的Ryuk勒索软件,充当信息窃取者,抢劫比特币钱包,以及获取电子邮件和凭证。

发送欺骗机器人的malspam活动使用了收件人熟悉的第三方品牌,比如会计和金融公司的发票。

这些电子邮件通常包括一个附件,如Microsoft Word或Excel文档,打开后将提示用户启用宏——从而执行VBScript来运行PowerShell脚本来下载恶意软件。

另外,其他恶意软件也会将TrickBot作为第二有效载荷丢弃,最著名的是Emotet僵尸网络驱动的垃圾邮件攻击。为了获得持久性和逃避检测,恶意软件被发现创建一个预定的任务和服务,甚至禁用和删除Windows卫士杀毒软件。

这导致微软在去年推出了一个篡改保护功能,以防止恶意和未经授权的安全功能更改。

研究人员总结道:“新的rdpScanDll模块可能是一长串被欺骗木马使用的模块中最新的一个,但它之所以引人注目,是因为它使用了一个高度具体的IP地址列表。”

“利用现有的欺骗机器人受害者基础设施,新的模块表明,攻击者可能还会关注金融以外的垂直领域,比如电信服务和教育与研究。”

11

发表评论