TrickBot یک تروجان جدید بانکی است که به نظر می رسد جانشین Dyre که در اکتبر 2016 پدیدار شد می باشد. کد TrickBot تحت آزمون های های پیشرونده از آگوست 2016 بوده است و همچنان در حال بروزرسانی بوده و هم اکنون ، حمله های جعل و آلوده سازی ها. از نظر داخلی، TrickBot بیش از چیزی است که با چشم دیده می شود. در این پست پژوهشی خدمات شبکه ما به برخی از نکات قابل توجه در مورد قابلیت های این بدافزارها می پردازیم، شامل:
• یک روش غیر معمول انجام حملات مرد در مرورگر (MitB)
• مکانیسم باگ تزریق به وبِ TrickBot (web injection)
• مبهم سازی ظریف رابط کاربردی برنامه نویسی(API) توسط توسعه دهنده.
• اعتقاد ما در رابطه با ارتباط مشکوک TrickBot-Dyre
برای تجزیه و تحلیل، نمونه ای که ما مورد استفاده قرار دادیم به شرح زیر بود:
5e363a42d019fc6535850a2867548f5b968d68952e1cddd49240d1f426debb73
تکنیک غیر معمول مرد در مرورگر
امروزه اکثر خانواده های بدافزارهای مالی امروزی میتوانند کد مخرب را به جلسات مرورگری که در جریان است تزریق کنند. (به عنوان مثال حملات مرد در مرورگر و تزریق به وب) رایج ترین روش توسعه دهندگان بدافزارها در پیاده سازی تزریق، نصب کردن آنها را به صورت محلی در دستگاه قربانی است. این بدافزار یک فایل پیکربندی محلی برای تزریق نگه می دارد ،که تعیین می کند دقیقا چه زمانی و چگونه بدافزار محتویات صفحات وب بانک مورد هدف را تغییر دهد. روش پیشرفته تر و غیر معمول تر برای رسیدن به نتیجه مشابه "فچ" کردن دستورالعمل نصب شبکه تزریق از سرور مهاجم در زمان واقعی است. این روشی است که توسعه دهندگان TrickBot معمولا استفاده می کنند. این روش به عنوان تزریق سرورساید (serverside) نیز شناخته شده است.
بدین منظور و کاملا مانند دیگر تروجانهای بانکی پیشرفته، TrickBot یک موتور اتصال به مرورگر طراحی شده برای رهگیری ارتباطات به / از مرورگر اینترنت قربانی را بکار می گیرد. با ترفند فچینگ در زمان واقعی، عملا تزریق های کد های مخرب به صورت امن بر روی سرور مهاجم نگه داشته شده، نه در یک فایل بر روی نقطه پایانی قربانی. هنگامی که یک قربانی یکی از URL های مورد نظر TrickBot را در مرورگر باز میکند، اتفاقی که می افتد به شرح زیر است:
1. ماژول مالی TrickBot پاسخ HTTP اصلی را قبل از اینکه به قربانی ارائه شود قطع می کند.
2. TrickBot یک بسته HTTP چند بخشی به C2 خود می فرستد همراه با بخش های ذیل:
1- "sourcelink" URL کامل که موجب این حمله می شود
2- "sourcequery" عبارت جستجوی HTTP کامل مرورگر
3- "sourcehtml" HTMLاصلی همانگونه که توسط یک مرورگر غیر آلوده نمایش داده می شود.
3. C2 با محتوای کامل HTML که به مرورگر قربانی نمایش داده میشود پاسخ داده، از جمله بخش های تزریق شده.
4. در نهایت، ماژول مالی TrickBot جایگزین پاسخ اصلی ای که به طور معمول از بانک، همراه با پاسخ C2 به دست می آید شده، و صفحه تزریق شده در طرف قربانی نمایش داده میشود.
روش تزریق سرورساید دارای مزایای بیشتری از مکانیسم استاندارد پشتیبانی شبکه محلی استفاده شده توسط بسیاری از بدافزارهای مالی امروز می باشد. شایان ذکر است که این روش امکان ابهام و انعطاف پذیری بیشتری را می دهد. مولف این بدافزار می تواند کد تزریق را خارج از دید انظار نگه دارد تا زمانی که مورد نیازباشد. اجرا کننده می تواند تزریق وب را در حین اجرا روشن یا خاموش کند، به راحتی تزریق را تغییر دهد و سپس به روز رسانی را به برخی یا همه قربانیان آلوده بطور آنی تحمیل کند.
